MITRE ATT&CK-Mapping: Welche Angriffsschritte Ihr SIEM sieht
Die Zuordnung von Use Cases zu MITRE ATT&CK macht sichtbar, welche Phasen eines Angriffs Sie erkennen können und wo Sie blind sind. Diese Seite erklärt die Taktiken, zeigt, wie die Zuordnung praktisch funktioniert, wie eine Abdeckungsmatrix als Steuerungsinstrument dient und wo ihre Aussagekraft endet.
- 14 Taktiken in der Enterprise-Matrix von MITRE ATT&CK
- 1 Frage je Use Case: Welchen Angriffsschritt macht er sichtbar?
- 3 Stufen Abdeckung je Technik: keine, teilweise, getestet
- jährlich Überprüfung der Matrix, plus bei Anlässen
Die Taktiken: das Warum eines Angriffsschritts
ATT&CK gliedert Angreiferverhalten in Taktiken, die grob dem Verlauf eines Angriffs folgen. Jede Taktik enthält Techniken, die beschreiben, wie Angreifer das Ziel der Taktik erreichen. Für das Mapping auf Use-Case-Ebene reicht meist die Taktik; die Technik kommt in der Detaildokumentation dazu.
| Taktik | Ziel des Angreifers | Beispiel für einen Use Case |
|---|---|---|
| Reconnaissance | Informationen über das Ziel sammeln, bevor der Angriff beginnt. | Meist außerhalb der eigenen Sicht; Scans gegen exponierte Systeme. |
| Resource Development | Infrastruktur, Konten und Werkzeuge für den Angriff aufbauen. | Kaum im SIEM sichtbar; relevant für Threat Intelligence. |
| Initial Access | In das Netzwerk gelangen. | Anmeldung aus anonymen Netzen, Impossible Travel, erkannte Phishing-Mails. |
| Execution | Schadcode auf einem System ausführen. | Verdächtige PowerShell, Skriptausführung aus Office-Anwendungen. |
| Persistence | Zugang über Neustarts und Kennwortwechsel hinweg behalten. | Neue geplante Aufgaben, neue Dienste, Weiterleitungsregeln in Postfächern. |
| Privilege Escalation | Höhere Berechtigungen erlangen. | Neue Domänen-Admins, ungewöhnliche Rechteänderungen. |
| Defense Evasion | Erkennung und Schutzmaßnahmen umgehen. | Deaktivierung von Logging, Abschalten von Schutzsoftware. |
| Credential Access | Zugangsdaten stehlen. | Brute Force, MFA-Fatigue, Zugriff auf Kennwortspeicher. |
| Discovery | Die Umgebung erkunden: Systeme, Konten, Freigaben. | Massenhafte Abfragen des Verzeichnisdienstes, Netzwerkscans von Arbeitsplätzen. |
| Lateral Movement | Sich von System zu System bewegen. | Dienstkonto interaktiv angemeldet, Fernzugriff zwischen Arbeitsplätzen. |
| Collection | Daten für den Abfluss zusammentragen. | Massenzugriff auf Dateifreigaben, Archivierung großer Datenmengen. |
| Command and Control | Mit kompromittierten Systemen kommunizieren. | Verbindungen zu bekannten bösartigen Zielen, ungewöhnliche DNS-Muster. |
| Exfiltration | Daten aus dem Unternehmen schaffen. | Datenabfluss in Cloud-Speicher, ungewöhnliches Upload-Volumen. |
| Impact | Systeme und Daten stören, verschlüsseln, zerstören. | Massen-Dateiänderungen, Löschen von Backups oder Schattenkopien. |
Wie ein Use Case einer Taktik zugeordnet wird
Die Zuordnung ist Teil der Anforderung eines Use Case, nicht nachträgliche Dekoration. Sie beantwortet: Welchen Angriffsschritt macht dieser Use Case sichtbar, auf welchen Systemen, mit welcher Sicherheit?
-
Verhalten benennen, nicht Werkzeug
Ausgangspunkt ist das Ziel des Use Case in Worten: Was tut der Angreifer, das erkannt werden soll? Wer beim Werkzeug oder der Event-ID startet, ordnet oft falsch zu. Das Verhalten führt zur Taktik.
-
Taktik bestimmen
Welches Ziel verfolgt der Angreifer mit diesem Verhalten? Zugang, Rechte, Tarnung, Bewegung, Abfluss, Wirkung? Ein Use Case kann mehreren Taktiken dienen, etwa neue Domänen-Admins als Persistence und Privilege Escalation. Dann werden beide notiert.
-
Technik in der Detaildokumentation ergänzen
In der Implementierungsdokumentation des Use Case wird die konkrete Technik aus der ATT&CK-Wissensbasis hinterlegt, mit Verweis auf die Quelle. Auf Katalog- und Berichtsebene genügt die Taktik; sie bleibt stabil, während Techniken sich mit jeder Version der Matrix ändern.
-
Reichweite festhalten
Auf welchen Systemen und mit welchen Datenquellen erkennt der Use Case das Verhalten? Ein Use Case für verdächtige PowerShell, der nur auf Servern läuft, deckt die Technik auf Arbeitsplätzen nicht ab. Die Reichweite ist der Unterschied zwischen einer ehrlichen und einer geschönten Matrix.
-
Abdeckungsgrad bewerten
Drei Stufen genügen: keine Abdeckung, teilweise (Use Case vorhanden, nicht getestet oder eingeschränkte Reichweite), getestet (Testfall bestanden, Reichweite dokumentiert). Nur die dritte Stufe zählt als Abdeckung im Bericht.
Die Abdeckungsmatrix als Steuerungsinstrument
Die Matrix zeigt je Taktik und Technik, ob und wie gut Sie erkennen. Sie ist das Werkzeug, um neue Use Cases zu priorisieren, Fortschritt zu zeigen und mit der Geschäftsleitung über Budget zu sprechen.
- Aufbau
Zeilen, Spalten, Farben
Taktiken als Spalten, Techniken als Zellen, Abdeckungsgrad als Farbe: keine, teilweise, getestet. Dazu je Zelle die Use Cases, die sie abdecken, und die Systeme, auf denen sie gelten. Öffentlich verfügbare Werkzeuge erzeugen diese Darstellung aus einer einfachen Zuordnungsliste.
- Eingrenzung
Nur relevante Techniken bewerten
Die vollständige Matrix enthält Hunderte Techniken, viele davon für Ihre Umgebung irrelevant. Grenzen Sie ein: Techniken, die zu Ihren Plattformen passen, die in Berichten über Angriffe auf Ihre Branche vorkommen, die zu Ihren Risikoszenarien gehören. Der Rest wird als bewusst nicht bewertet markiert.
- Priorisierung
Lücken nach Relevanz reihen
Eine Lücke bei einer Technik, die in Ransomware-Angriffen regelmäßig vorkommt und Ihre kritischen Systeme betrifft, steht oben. Eine Lücke bei einer exotischen Technik ohne Bezug zu Ihrer Landschaft darf offen bleiben. Die Reihung ergibt die Roadmap für neue Use Cases.
- Bericht
Fortschritt und Lücken zeigen
Die Matrix im Jahresbericht an die Geschäftsleitung zeigt, wie viele relevante Techniken getestet abgedeckt sind, wie sich das gegenüber dem Vorjahr verändert hat und welche Lücken bewusst akzeptiert werden. Das ist zugleich ein Nachweis für die Bewertung der Wirksamkeit, die NIS2 und ISO 27001 verlangen.
Strukturiert erfassen: Mit der Use Case Factory auf jamorie.eu können Sie Use Cases strukturiert erfassen und dokumentieren, einschließlich der Zuordnung zu Taktiken.
Wo die Abdeckungsmessung an Grenzen stößt
Die Matrix ist ein gutes Werkzeug und ein schlechter Selbstzweck. Diese Grenzen sollten alle kennen, die sie lesen.
-
Abdeckung ist nicht Erkennungswahrscheinlichkeit
Eine grüne Zelle heißt: Ein Use Case existiert und ist getestet. Sie heißt nicht, dass jede Variante der Technik auf jedem System erkannt wird. Angreifer variieren, und Use Cases erkennen Muster, nicht Absichten.
-
Vollständigkeit ist kein Ziel
Eine Matrix mit vielen grünen Zellen kann aus Hunderten importierten Herstellerregeln bestehen, die niemand pflegt und deren Alarme niemand bearbeitet. Wenige getestete Use Cases mit klarer Reaktion sind mehr wert als flächendeckende Scheinabdeckung.
-
Die Matrix kennt Ihre Risiken nicht
ATT&CK beschreibt, was Angreifer tun, nicht, was für Sie am meisten zählt. Ohne Risikobewertung und Kenntnis der kritischen Systeme führt die Matrix zu gleichmäßiger Verteilung statt zu Schwerpunkten.
-
Datenquellen begrenzen die Sicht
Viele Techniken lassen sich nur mit bestimmten Datenquellen erkennen. Fehlt die Quelle, ist die Zelle für Sie nicht erreichbar, egal wie gut der Use Case beschrieben ist. Die Matrix zeigt damit auch Lücken in der Log-Anbindung.
-
Die Matrix verändert sich
MITRE aktualisiert die Wissensbasis regelmäßig. Techniken werden zusammengelegt, aufgeteilt oder neu aufgenommen. Zuordnungen auf Technikebene müssen deshalb versioniert und bei Aktualisierungen geprüft werden. Taktiken sind stabiler.
-
Erkennung ist nicht Reaktion
Die Matrix sagt nichts darüber, ob auf einen Alarm jemand reagiert. Ein getesteter Use Case ohne Playbook und ohne Zuständigkeit erzeugt eine grüne Zelle und keinen Schutz. Abdeckung und Reaktionsfähigkeit gehören getrennt gemessen.
Vertiefung zu SIEM Use Cases
-
Zehn Beispiel-Use Cases
Von Brute Force bis MFA-Fatigue mit Ziel, Datenquelle, Logik in Worten, Schweregrad und Reaktion, als Vorlage für Ihren Katalog.
-
False Positives und Tuning
Ursachen von Fehlalarmen, Messung der False-Positive-Rate, der Tuning-Zyklus mit Allowlists und Schwellenwerten und die Frage, wann ein Use Case abgeschaltet wird.
-
Übersicht: SIEM Use Cases
Die sechs Bausteine eines Use Case, der Lebenszyklus von der Idee bis zur Außerbetriebnahme und die Kennzahlen MTTD und MTTR.
Zum ATT&CK-Mapping
Was ist MITRE ATT&CK, kurz erklärt?
Eine öffentlich gepflegte Wissensbasis über das Verhalten von Angreifern, gegliedert in Taktiken (das Warum eines Angriffsschritts, etwa Zugang erlangen oder Rechte ausweiten) und Techniken (das Wie). Sie beruht auf beobachteten realen Angriffen und ist zur gemeinsamen Sprache für Detection Engineering, Incident Response und Threat Intelligence geworden.
Müssen wir alle Taktiken abdecken?
Nein. Vollständige Abdeckung ist weder erreichbar noch sinnvoll. Ziel ist, die Taktiken und Techniken abzudecken, die für Ihre Systeme, Ihre Branche und die für Sie relevanten Angreifergruppen wahrscheinlich sind. Eine Abdeckungsmatrix mit vielen Lücken und klarer Priorisierung ist besser als eine, die vollständig aussieht und nichts erkennt.
Ein Use Case deckt eine Technik ab. Heißt das, wir erkennen jeden Angriff damit?
Nein. Eine Technik hat viele Varianten, und ein Use Case erkennt meist nur einige davon auf bestimmten Systemen. Die Zuordnung sagt, dass Sie diese Technik grundsätzlich sehen können, nicht, dass Sie jede Ausprägung sehen. Deshalb gehört zu jeder Zuordnung eine Angabe, welche Systeme und Datenquellen einbezogen sind und wie gut die Erkennung getestet ist.
Wie oft sollten wir die Abdeckungsmatrix überprüfen?
Mindestens jährlich und bei Anlässen: neue Systeme oder Cloud-Dienste, eigener Vorfall, Änderung der Bedrohungslage für Ihre Branche, Wegfall oder Hinzukommen einer Logquelle. Die Matrix ist ein Steuerungsinstrument, keine Einmalauswertung. Wer sie im Jahresbericht an die Geschäftsleitung zeigt, macht Fortschritt und Lücken nachvollziehbar.
Ersetzt die Abdeckungsmatrix die Risikobewertung?
Nein. Die Matrix zeigt, welche Angriffsschritte Sie erkennen könnten. Die Risikobewertung sagt, welche Systeme und Angriffe für Ihr Unternehmen am meisten zählen. Beides zusammen ergibt die Priorisierung neuer Use Cases: hohe Relevanz und Lücke in der Matrix zuerst.
Edouard Jacques
Wo ist Ihr SIEM blind?
Im kostenlosen Erstgespräch gehen wir Ihren Use-Case-Bestand durch, ordnen ihn den Taktiken zu und zeigen, welche relevanten Angriffsschritte heute niemand sieht. Sie erhalten eine erste Abdeckungsmatrix und eine Reihenfolge für die nächsten Use Cases.
- Zuordnung Ihrer Use Cases zu den Taktiken
- Abdeckungsmatrix mit ehrlicher Bewertung der Reichweite
- Priorisierte Lückenliste nach Risiko und Datenverfügbarkeit
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen