تغطية MITRE ATT&CK

لحساب النسبة: نضع الأرقام في المعادلة: (95 / 193) × 100 = 49.22% تقريبًا. أي أن SecCorp تغطي حوالي نصف التقنيات في المصفوفة. هذا يعتبر مستوى متوسط، لكنه ليس مقياسًا وحيدًا. يجب على SecCorp تحليل التقنيات غير المغطاة (193 - 95 = 98 تقنية). إذا كانت هذه التقنيات تتضمن سلوكيات تستهدف أنظمتهم الحرجة (مثل T1485 - Data Destruction أو T1490 - Inhibit System Recovery)، فهذه فجوة خطيرة. نصيحتنا: التركيز على التقنيات المرتبطة بمشهد التهديدات الخاص بقطاعهم (مثلاً إذا كانوا في قطاع التمويل، فتقنيات مثل T1567 - Exfiltration Over Web Service و T1071 - Application Layer Protocol). استخدام تقنيات متقدمة مثل قواعد Sigma أو YARA لتغطية الفراغات. كما نوصي باستخدام إطار ATT&CK لتقييم فعالية التغطية بجانب النسبة: هل التغطية دقيقة؟ هل تسبب إنذارات كاذبة؟ يمكن أن تكون التغطية 50% ولكنها سيئة التنفيذ، لذا يجب تحسين جودة الاكتشافات فوق العدد.

نسبة التغطية = (100 / 200) × 100 = 50%. هذه النسبة متوسطة. لاحظ أن استخدام أدوات متعددة لا يزيد التغطية بالضرورة إذا كانت متداخلة. لتحسينها، اقترح على CloudTech ما يلي: أولاً، تحديد التقنيات غير المغطاة (100 تقنية متبقية). ثانياً، التركيز على التقنيات ذات الأولوية العالية التي تستهدف بنيتهم السحابية مثل T1552 - Steal Application Access Token و T1613 - Container Administration Command. ثالثاً، تنفيذ التحديثات المنتظمة للكشف استنادًا إلى أحدث أبحاث التهديدات. رابعًا، الاستفادة من إطار ATT&CK لأتمتة الاختبارات الأمنية (مثل Atomic Red Team) لقياس الفعالية الفعلية للتغطية بدلاً من الاعتماد فقط على العدد.