تغطية الكشف (MITRE ATT&CK)

أولاً، فهم إطار عمل MITRE ATT&CK: يُعد هذا الإطار قاعدة معرفية شاملة لتكتيكات وتقنيات الهجمات السيبرانية، تم تطويره من قبل MITRE. ينقسم إلى عدة أجزاء، أهمها التكتيكات (Tactics) التي تمثل الأهداف الاستراتيجية للمهاجم (مثل الوصول الأولي، التنفيذ، الاستمرارية، تصعيد الامتيازات، إلخ). كل تكتيك يحتوي على تقنيات متعددة. يهدف هذا الحساب إلى قياس مدى تغطية قدرات الكشف لديك لهذه التكتيكات.

الخطوة الثانية: تحديد عدد التكتيكات الإجمالية (Total Tactics). في إطار MITRE ATT&CK للمؤسسات (Enterprise)، يوجد 14 تكتيكًا رئيسيًا (اعتبارًا من الإصدار الأخير): الوصول الأولي، التنفيذ، الاستمرارية، تصعيد الامتيازات، تجنب الدفاع، الوصول إلى البيانات، الجمع، القيادة والتحكم، النقل، التأثير، إلخ. يجب الحصول على العدد الأحدث من الموقع الرسمي لـ MITRE. مع العلم أن عدد التكتيكات قد يختلف بين الإصدارات.

الخطوة الثالثة: حساب عدد التكتيكات المُغطاة (Covered Tactics). هذا هو عدد التكتيكات التي تمتلك مؤسستك قدرات كشف ومراقبة فعّالة لها. يعني ذلك أن لديك أدوات أو إجراءات تمكنك من اكتشاف الأنشطة الضارة ضمن ذلك التكتيك بدرجة مقبولة من الثقة. ليس بالضرورة تغطية كل التقنيات داخل التكتيك، بل يكفي وجود قدرة عامة للكشف عن السلوكيات المرتبطة بالتكتيك.