تغطية الكشف (MITRE ATT&CK)

أولاً، فهم إطار عمل MITRE ATT&CK: يُعد هذا الإطار قاعدة معرفية شاملة لتكتيكات وتقنيات الهجمات السيبرانية، تم تطويره من قبل MITRE. ينقسم إلى عدة أجزاء، أهمها التكتيكات (Tactics) التي تمثل الأهداف الاستراتيجية للمهاجم (مثل الوصول الأولي، التنفيذ، الاستمرارية، تصعيد الامتيازات، إلخ). كل تكتيك يحتوي على تقنيات متعددة. يهدف هذا الحساب إلى قياس مدى تغطية قدرات الكشف لديك لهذه التكتيكات.

الخطوة الثانية: تحديد عدد التكتيكات الإجمالية (Total Tactics). في إطار MITRE ATT&CK للمؤسسات (Enterprise)، يوجد 14 تكتيكًا رئيسيًا: الاستطلاع، تطوير الموارد، الوصول الأولي، التنفيذ، الاستمرارية، تصعيد الامتيازات، تجنب الدفاع، الوصول إلى الاعتمادات، الاكتشاف، الحركة الجانبية، الجمع، القيادة والتحكم، النقل، والتأثير. يجب الحصول على العدد الأحدث من الموقع الرسمي لـ MITRE. مع العلم أن عدد التكتيكات قد يختلف بين الإصدارات.

الخطوة الثالثة: حساب عدد التكتيكات المُغطاة (Covered Tactics). هذا هو عدد التكتيكات التي تمتلك مؤسستك قدرات كشف ومراقبة فعّالة لها. يعني ذلك أن لديك أدوات أو إجراءات تمكنك من اكتشاف الأنشطة الضارة ضمن ذلك التكتيك بدرجة مقبولة من الثقة. ليس بالضرورة تغطية كل التقنيات داخل التكتيك، بل يكفي وجود قدرة عامة للكشف عن السلوكيات المرتبطة بالتكتيك.

الخطوة الرابعة: تطبيق الصيغة الرياضية: تغطية الكشف (%) = (عدد التكتيكات المُغطاة ÷ إجمالي عدد التكتيكات) × 100. على سبيل المثال، إذا كان إجمالي التكتيكات 14 وقمت بتغطية 6 منها، تكون التغطية = (6/14)×100 ≈ 42.86%. هذه النسبة تعطي مؤشرًا أوليًا على مدى شمولية قدرات الكشف لديك.

الخطوة الخامسة: تفسير النتيجة. كلما ارتفعت النسبة، كلما كان ذلك أفضل من ناحية التغطية الأمنية. لكن يجب الانتباه إلى أن هذا المقياس كمي وليس نوعي؛ فقد تكون التغطية عالية لكن جودة الكشف ضعيفة. لذا يُنصح باستخدامه كأداة تقييم أولية مع مقاييس أخرى مثل تغطية التقنيات (Techniques) والمخاطر المتبقية.