Questão de Segurança da Informação — MITRE ATT&CK — CESPE / CEBRASPE 2023

MITRE ATT&CK: uso e priorização de técnicas

❌ ERRADO. A afirmação está incorreta: para um uso maximizado do framework ATT&CK, não se recomenda utilizar todas as técnicas da matriz, mas sim priorizar aquelas que representam maior risco para a organização. O framework é uma base de conhecimento ampla, e a aplicação eficaz exige seleção e priorização com base no contexto e nos riscos específicos.

O MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) é um framework de cibersegurança desenvolvido pela MITRE Corporation que documenta táticas, técnicas e procedimentos (TTPs) usados por atores de ameaças. Ele é amplamente utilizado para entender como os ataques ocorrem e para desenvolver defesas mais eficazes. As táticas representam o "porquê" do ataque (objetivos estratégicos, como roubo de credenciais ou exfiltração de dados), as técnicas e subtécnicas representam o "como" (métodos específicos para executar as táticas), e os procedimentos são os passos detalhados, incluindo ferramentas e comandos.

O framework é organizado em matrizes que mapeiam as técnicas para as táticas, como a matriz Enterprise (sistemas corporativos), Mobile (dispositivos móveis) e ICS (sistemas de controle industrial). Essas matrizes são extensas e incluem centenas de técnicas. Aplicar todas elas indiscriminadamente seria impraticável e ineficaz, pois cada organização possui um perfil de risco, infraestrutura e ameaças específicas. A recomendação é utilizar o ATT&CK como um guia para identificar técnicas relevantes, avaliar quais representam maior risco para o negócio e priorizar a implementação de defesas e detecções para essas técnicas.

A priorização é um princípio fundamental da gestão de riscos em segurança da informação. Não se trata de implementar tudo, mas de focar nos cenários mais prováveis e de maior impacto. Por exemplo, uma instituição financeira pode priorizar técnicas relacionadas a fraude e exfiltração de dados, enquanto uma indústria pode focar em técnicas que afetam sistemas de controle (ICS). A utilização de todas as técnicas da matriz, sem critério, levaria a um desperdício de recursos e a uma falsa sensação de segurança, pois a atenção estaria diluída em técnicas irrelevantes para o contexto da organização.

A banca explora aqui a generalização indevida: a palavra "todas" torna a afirmação incorreta, pois o uso maximizado do framework não significa usar todas as técnicas, mas sim usar de forma inteligente, priorizando as de maior risco. O candidato que conhece o framework sabe que ele é uma base de conhecimento, não uma lista de verificação obrigatória.

Alternativa E — ❌ Incorreta ⟵ GABARITO

A alternativa está errada porque afirma que se deve utilizar todas as técnicas da matriz ATT&CK. O correto é priorizar as técnicas que representam maior risco para a organização. O framework é uma base de conhecimento ampla, e a aplicação eficaz exige seleção e priorização com base no contexto e nos riscos específicos. Usar todas as técnicas indiscriminadamente seria impraticável e ineficaz, pois cada organização possui um perfil de risco, infraestrutura e ameaças específicas. A recomendação é utilizar o ATT&CK como um guia para identificar técnicas relevantes, avaliar quais representam maior risco para o negócio e priorizar a implementação de defesas e detecções para essas técnicas.

Gabarito: letra E