MITRE ATT&CK คืออะไร อ่าน Matrix และใช้งานฝั่งป้องกันอย่างไร

ไม่ช้าก็เร็ว alert, รายงานของ vendor หรือ threat brief ที่เราอ่านจะมีรหัสแปลก ๆ อย่าง T1566.001 โผล่มา ดูเผิน ๆ เหมือนเลขรหัสอะไหล่ แต่จริง ๆ แล้วมันคือพิกัดบนแผนที่ และเมื่ออ่านแผนที่นี้เป็น งานเขียนด้าน security จำนวนมากจะเข้าใจง่ายขึ้นทันทีครับ

โพสต์นี้คือคู่มือสำหรับมือใหม่ของผมเกี่ยวกับแผนที่ฉบับนั้น คือ MITRE ATT&CK จะเล่าว่ามันคืออะไร ส่วนต่าง ๆ ประกอบกันอย่างไร อ่านหนึ่งหน้าตั้งแต่บนลงล่างอย่างไร และ defender ใช้มันจริงอย่างไร รวมถึงความผิดพลาดหนึ่งข้อที่เกิดง่ายมาก นั่นคือการใช้มันเหมือน checklist ครับ

ATT&CK คืออะไร

MITRE อธิบาย ATT&CK ว่าเป็น knowledge base ของ tactic และ technique ของผู้โจมตีที่ทุกคนเข้าถึงได้ โดยอิงจากสิ่งที่สังเกตพบในโลกจริง พูดอีกแบบคือ มันไม่ใช่รายการทุกอย่างที่ผู้โจมตี อาจ ทำ แต่เป็นบันทึกสิ่งที่ผู้โจมตี เคยถูกพบว่า ทำ ข้อมูลส่วนใหญ่มาจากเหตุการณ์ที่มีการรายงานต่อสาธารณะ และเอกสาร design ของ MITRE เองก็ระบุว่ามันไม่ใช่รายการช่องทางโจมตีที่ครบถ้วนทั้งหมด ใครก็ใช้ได้ฟรี ภายใต้ terms of use

ATT&CK เริ่มต้นจากเครื่องมือวิจัยภายใน เอกสาร design and philosophy ของ MITRE ระบุว่าโมเดลแรกสร้างขึ้นในเดือนกันยายน พ.ศ. 2556 เน้นเครือข่ายองค์กรที่ใช้ Windows และเปิดเผยต่อสาธารณะในเดือนพฤษภาคม พ.ศ. 2558 โดยมี 96 technique ภายใต้ 9 tactic หลังจากนั้นก็โตขึ้นมาก รุ่นปัจจุบันคือ ATT&CK v20 (13 ตุลาคม พ.ศ. 2569) ซึ่งมี 15 tactic, 227 technique และ 479 sub-technique เฉพาะฝั่ง Enterprise อย่างเดียว นอกจากนี้ยังมี matrix แยกสำหรับ Mobile และระบบควบคุมอุตสาหกรรม (ICS)

การเปรียบเป็นแผนที่ใช้ได้ดีมากตรงนี้ แผนที่ไม่ได้บอกว่าเราต้องไปไหน แต่แสดงภูมิประเทศ ตั้งชื่อทุกจุดให้ทุกคนเรียกเหมือนกัน และทำให้คนสองคนคุยถึงจุดเดียวกันได้โดยไม่สับสน ATT&CK ทำแบบเดียวกันกับพฤติกรรมของผู้โจมตีครับ

อ่าน legend ของแผนที่: tactic, technique, procedure

แผนที่ทุกฉบับมี legend ของ ATT&CK มีสี่ระดับ ซึ่งมักเรียกย่อรวมกันว่า "TTPs" Best Practices for MITRE ATT&CK Mapping ของ CISA และ ATT&CK FAQ นิยามไว้ดังนี้

บน Enterprise matrix tactic คือคอลัมน์ และ technique คือช่องที่อยู่ใต้คอลัมน์ อ่านแถวบนสุดจะเห็น 15 tactic ตั้งแต่ Reconnaissance ทางซ้ายไปจนถึง Impact ทางขวา

  ATT&CK  columns = tactics (why) · cells = techniques (how)    
  RCN RES INI EXE PER PRV STL DIM CRD DSC LAT COL C2  EXF IMP   
  ────────────────────────────────────────────────────────────  
   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·    
   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·    
   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·    
   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·    
   ·   ·   ·   ·   ·   ·   ·       ·       ·   ·   ·            
       ·       ·   ·   ·   ·       ·           ·   ·            
               ·   ·   ·   ·       ·           ·   ·            
               ·       ·   ·       ·           ·                
               ·       ·           ·                            
                                                                
  ────────────────────────────────────────────────────────────  
  >                                                             
    waiting for activity                                        

มีสองเรื่องเกี่ยวกับตารางนี้ที่มือใหม่มักสับสน ขอชี้ไว้ก่อนครับ

มันคือแผนที่ ไม่ใช่เส้นทาง คู่มือของ CISA ระบุว่า ATT&CK ไม่ได้มีไว้ให้อ่านแบบเป็นเส้นตรง ผู้โจมตีไม่ได้เดินจากซ้ายไปขวา และไม่จำเป็นต้องใช้ทุก tactic ผู้บุกรุกอาจขโมยข้อมูลออกไปก่อน แล้วค่อยเพิ่ม persistence ทีหลัง ซึ่งก็คือการเดิน "ย้อน" กลับข้ามคอลัมน์

ช่องเดียวอาจอยู่ได้หลายคอลัมน์ technique หนึ่งตอบได้หลายเป้าหมาย เช่น Scheduled Task (T1053.005) อยู่ทั้งใน Execution, Persistence และ Privilege Escalation เพราะ scheduled task ตัวเดียวกันใช้รันโค้ด อยู่รอดหลัง reboot และรันด้วยสิทธิ์ที่สูงขึ้นได้

แผนที่ถูกวาดใหม่ได้

เหมือนแผนที่ดี ๆ ทั่วไป ATT&CK มีการปรับปรุง ใน v19 (28 เมษายน พ.ศ. 2569) MITRE แยก tactic Defense Evasion เดิมออกเป็นสองตัว คือ Stealth (การซ่อนตัวและกลมกลืนไปกับสิ่งปกติ ซึ่งนำ ID เดิมของ Defense Evasion คือ TA0005 กลับมาใช้) และ Defense Impairment (การทำลายเครื่องมือและ pipeline ด้าน security, TA0112) ตามรายการ tactic และคู่มือ remap ของ Elastic เครื่องมือที่เราใช้อาจไม่ได้อัปเดตในวันเดียวกัน ขณะที่เขียนโพสต์นี้ เอกสารของ Microsoft ระบุว่าหน้า MITRE ใน Sentinel อิงกับ ATT&CK version 18 ดังนั้นเวลามีคนเอา mapping มาให้ดู ควรถามด้วยว่าใช้แผนที่ฉบับไหนครับ

อ่านหน้า technique หนึ่งหน้า ตั้งแต่บนลงล่าง

วิธีที่ดีที่สุดในการเรียนรู้แผนที่คือซูมเข้าไปที่จุดเดียว ลองเปิดหน้า Spearphishing Attachment (T1566.001) ซึ่งเป็น sub-technique ของ Phishing ดูครับ

1. ส่วนหัว บอก ID, technique แม่ (T1566), tactic (Initial Access, TA0001), platform (Linux, Windows, macOS), เลข version และวันที่แก้ไขล่าสุด ควรดูวันที่ด้วย เพราะหน้าเปลี่ยนได้ระหว่าง release
2. คำอธิบาย อธิบายพฤติกรรมด้วยภาษาธรรมดา คืออีเมลแบบเจาะจงเป้าหมายที่แนบไฟล์อันตรายมา และมักต้องอาศัยให้ผู้ใช้เปิดไฟล์
3. Procedure Examples คือระดับ "เกิดอะไรขึ้นจริง" แต่ละแถวเป็นกลุ่ม ซอฟต์แวร์ หรือ campaign จริงพร้อมแหล่งอ้างอิง ในหน้านี้มีตัวอย่าง เช่น APT28 และ APT29 ที่ส่งอีเมล spearphishing พร้อมไฟล์แนบอันตราย
4. Mitigations คือสิ่งที่ช่วยลดความเสี่ยง แต่ละข้อมี ID ขึ้นต้นด้วย M เช่น M1049 Antivirus/Antimalware, M1031 Network Intrusion Prevention, M1021 Restrict Web-Based Content และ M1017 User Training
5. Detection หน้ารุ่นใหม่อธิบายการตรวจจับในรูป detection strategy ในที่นี้คือ DET0236 ซึ่งมี analytic หนึ่งตัวต่อหนึ่ง platform analytic ฝั่ง Windows ไล่ตามลำดับเหตุการณ์ คือมีอีเมลน่าสงสัยเข้ามา มีไฟล์ถูกเขียนลงดิสก์ มีแอป Office เรียก PowerShell หรือ CMD ขึ้นมา แล้วตามด้วย traffic ขาออก หน้านี้ระบุข้อมูลที่ต้องใช้ (application log, การสร้างไฟล์, การสร้าง process, การเชื่อมต่อเครือข่าย โดยระบุ Sysmon event code 11, 1, 3 และ 22 เป็นแหล่งข้อมูล) และยังมี tunables เช่น ช่วงเวลา เพื่อให้ปรับ analytic ให้เข้ากับสภาพแวดล้อมของเราได้
6. References คือแหล่งที่มาของทุกข้อความในหน้า ถ้า mapping ไหนดูน่าสงสัย ให้มาตรวจที่นี่

ลำดับนี้เป็นนิสัยที่ดีสำหรับทุก technique คือ มันคืออะไร ใครเคยใช้จริง ลดความเสี่ยงอย่างไร จะมองเห็นได้อย่างไร และความรู้นั้นมาจากไหนครับ

ระบายสีแผนที่ด้วย Navigator

ATT&CK Navigator คือเครื่องมือเว็บฟรีของ MITRE สำหรับระบายสี matrix เราสร้าง layer ซึ่ง README เรียกว่ามุมมองที่ปรับแต่งเองของ knowledge base ตามคู่มือการใช้งาน เราทำสิ่งเหล่านี้ได้

• ให้ score กับ technique แล้วระบายสีไล่ระดับตาม gradient ที่เลือกเอง (Navigator ตั้งใจไม่กำหนดว่า score หมายถึงอะไร เราเป็นคนกำหนดเอง)
• เพิ่ม comment, สี และลิงก์ให้แต่ละช่อง รวมถึงซ่อนหรือปิด technique ที่ไม่เกี่ยวข้อง
• รวม layer ด้วยนิพจน์อย่าง a+b หรือ (a+b)/2 เช่น เทียบ "สิ่งที่ผู้โจมตีที่เราสนใจใช้" กับ "สิ่งที่เราตรวจจับได้"
• export layer เป็น JSON, Excel หรือ SVG

ถ้า layer นั้นอธิบายการป้องกันขององค์กรเราเอง README แนะนำให้ติดตั้ง Navigator ใช้เองแทนการใช้ตัวสาธารณะ เพราะไฟล์อาจเป็นข้อมูลอ่อนไหวครับ

  COVERAGE LAYER   score: · none  : low  = some  # more  - n/a  
  RCN RES INI EXE PER PRV STL DIM CRD DSC LAT COL C2  EXF IMP   
  ────────────────────────────────────────────────────────────  
   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·    
   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   -    
   ·   -   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·    
   -   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·   ·    
   ·   ·   ·   ·   ·   ·   ·       ·       ·   ·   ·            
       ·       ·   ·   ·   ·       ·           ·   ·            
               ·   ·   ·   ·       ·           ·   ·            
               ·       -   ·       ·           ·                
               ·       ·           ·                            
                                                                
  ────────────────────────────────────────────────────────────  
  >                                                             
    empty cells are gaps: decide which ones matter              

กับดัก: การไล่ล่า 100%

matrix ที่ระบายสีแล้วดูน่าพอใจ และชวนให้อยากระบายให้ครบทุกช่อง MITRE เตือนเรื่องนี้ไว้ตรง ๆ เอกสาร design ระบุว่าโดยทั่วไปการครอบคลุมทุก technique ใน ATT&CK เป็นเรื่องที่ไม่สมจริง และ ATT&CK บันทึกพฤติกรรมที่รู้จัก ไม่ได้ตั้งใจให้เป็น checklist ที่ต้องจัดการให้ครบทุกข้อ

เอกสารให้เหตุผลไว้สองข้อที่ผมจำได้ดีครับ

• พฤติกรรมบางอย่างเป็นเรื่องปกติ การรัน ipconfig.exe จัดอยู่ใน System Network Configuration Discovery แต่คนทั่วไปก็รันคำสั่งนี้บ่อยและด้วยเหตุผลปกติ เช่น ใช้แก้ปัญหาการเชื่อมต่อเครือข่าย ถ้า alert ทุกครั้งที่รันก็จะมากเกินไป แค่เก็บบันทึกไว้อาจเพียงพอแล้ว
• หนึ่งช่องไม่ได้มีแค่สิ่งเดียว technique หนึ่งอาจมี procedure ได้หลายแบบ และเราไม่มีทางรู้ทั้งหมดล่วงหน้า การเฝ้าดู ipconfig.exe ไม่ได้ครอบคลุมการ discovery แบบเดียวกันที่ทำผ่าน PowerShell cmdlet

ดังนั้นช่องสีเขียวควรหมายถึง "เราอธิบายได้ว่ามองเห็น procedure ไหน และทดสอบแล้ว" ไม่ใช่ "เราซื้อผลิตภัณฑ์ที่บอกว่าครอบคลุม technique นี้" เอกสารสรุปไว้ง่าย ๆ ว่าใครก็ตามที่ map กับ ATT&CK ควรอธิบายได้ว่าตัวเองครอบคลุม procedure ไหนบ้างครับ

D3FEND: แผนที่คู่หูของฝั่ง defender

ATT&CK อธิบายฝั่งผู้โจมตี ส่วน MITRE D3FEND อธิบายมาตรการป้องกัน มันคือ knowledge graph ของ defensive technique ได้รับทุนจาก National Security Agency (NSA) ของสหรัฐฯ และจัดกลุ่มไว้ใต้เจ็ด tactic ได้แก่ Model, Harden, Detect, Isolate, Deceive, Evict และ Restore

ส่วนที่ผมว่าฉลาดคือวิธีเชื่อมแผนที่สองฉบับเข้าด้วยกัน ในเอกสาร D3FEND technique ฝั่งโจมตีและฝั่งป้องกันเชื่อมกันผ่าน digital artifact คือสิ่งที่ทั้งสองฝ่ายต้องแตะต้อง เช่น ไฟล์ อีเมล หรือ network traffic technique ของผู้โจมตีสร้าง artifact ขึ้นมา และ defensive technique ก็ทำงานกับ artifact ตัวเดียวกันนั้น

ในตัวอย่างของเรา หน้า T1566.001 ของ D3FEND เชื่อม technique นี้กับ artifact ที่มันสร้างขึ้น ซึ่งหนึ่งในนั้นคือ Email (ความสัมพันธ์อยู่ในข้อมูลของ technique นี้) มีวิธีป้องกันหลายแบบที่ทำงานกับอีเมลนั้น สามตัวอย่างคือ Email Filtering (Isolate) ที่ทำหน้าที่ filters มัน, Sender Reputation Analysis (Detect) ที่ทำหน้าที่ analyzes มัน และ Email Removal (Evict) ที่ทำหน้าที่ deletes มัน

                                          ┌────────────────────┐
                                          │ Email Filtering    │
                                         ·│ Isolate            │
                                        · └────────────────────┘
┌───────────────┐         ┌─────────┐  ·  ┌────────────────────┐
│ ATT&CK        │produces │ artifact│ ·   │ Sender Reputation  │
│ T1566.001     │●────────│ Email   │·····│ Analysis · Detect  │
│ Spearphishing │         │         │ ·   └────────────────────┘
│ Attachment    │         └─────────┘  ·  ┌────────────────────┐
└───────────────┘                       · │ Email Removal      │
                                         ·│ Evict              │
                                          └────────────────────┘
────────────────────────────────────────────────────────────────
> D3FEND: Email Removal --deletes--> Email                      

มีรายละเอียดหนึ่งที่เตือนใจว่าแผนที่สองฉบับนี้สร้างมาเพื่องานต่างกัน ATT&CK ระบุ User Training เป็น mitigation ของ spearphishing แต่เอกสาร D3FEND จัดการอบรมสร้างความตระหนักไว้ นอกขอบเขต เพราะมันไม่ได้ทำงานกับ digital artifact โดยตรง ไม่มีฉบับไหนผิด ทั้งสองแค่ตอบคำถามคนละข้อครับ

สามวิธีใช้งานจริง

1. ติด tag ให้ alert

SIEM ส่วนใหญ่ให้เราผูก technique เข้ากับ detection rule ได้ ตัวอย่างเช่นใน Microsoft Sentinel เราเลือก MITRE technique ตอนตั้งค่า analytics rule และ incident ที่เกิดจาก rule นั้นจะมี technique เดียวกันติดมาด้วย tag อย่าง T1003.001 บอก analyst คนถัดไปว่านี่คือ พฤติกรรมประเภทไหน ก่อนที่เขาจะอ่าน log แม้แต่บรรทัดเดียว คู่มือของ CISA เพิ่มนิสัยที่มีประโยชน์ไว้ดังนี้

• map ไปที่ sub-technique ที่เจาะจงที่สุดเท่าที่หลักฐานรองรับ
• อย่าอนุมานว่ามี technique ที่เรามองไม่เห็นหลักฐาน
• จำไว้ว่าพฤติกรรมเดียวอาจ map ได้หลาย technique พร้อมกัน (HTTP command-and-control บน port 8088 เป็นทั้ง Non-Standard Port และ Web Protocols)

2. วางแผน detection

เริ่มจาก technique ที่สำคัญกับ เรา เช่น กลุ่มที่โจมตีอุตสาหกรรมของเรา platform ที่เราใช้ และ incident ที่เคยเกิด จากนั้นเปิดหน้า technique แต่ละหน้าแล้วไล่ดู detection strategy ของมัน เราเก็บข้อมูลที่มันต้องการหรือยัง เขียนและทดสอบ analytic ได้ไหม layer "เกี่ยวข้อง" ที่รวมกับ layer "ตรวจจับได้" ใน Navigator จะแสดงช่องว่างที่ควรทำก่อนครับ

3. คุยกับผู้บริหาร

เอกสาร design ระบุว่าการประเมินช่องว่างเพื่อช่วยจัดลำดับการลงทุนด้าน security เป็นการใช้งานหลักอย่างหนึ่ง layer ที่ระบายสีแล้วเป็นภาพที่คนที่ไม่ใช่สายเทคนิคอ่านเข้าใจได้ในไม่กี่วินาที แต่ต้องซื่อตรงว่าสีหมายถึงอะไร "เรามี detection ที่ทดสอบแล้วสำหรับ procedure เหล่านี้" เป็นคำพูดที่ปกป้องได้ ส่วน "เราครอบคลุม ATT&CK เกือบหมดแล้ว" มักปกป้องไม่ได้ครับ

เริ่มต้นตรงไหนดี

ถ้า ATT&CK ยังใหม่สำหรับคุณ ลองแบบนี้ เลือก alert หนึ่งตัวที่เห็นในสัปดาห์นี้ หา technique ของมันบนแผนที่ แล้วอ่านหน้านั้นตั้งแต่ส่วนหัวจนถึง references จากนั้นถามสี่คำถามที่หน้านั้นถูกออกแบบมาให้ตอบ คือ ทำไม อย่างไร ใครเคยทำ และเราจะมองเห็นได้อย่างไร ทำแบบนี้สักไม่กี่ครั้ง รหัสในรายงานจะเลิกดูเหมือนเลขอะไหล่ และเริ่มดูเหมือนสถานที่ที่เราเคยไปมาแล้วครับ

แหล่งอ้างอิง

• MITRE ATT&CK หน้าหลักและ Enterprise matrix
• ATT&CK FAQ
• ATT&CK Get Started resources
• ATT&CK version history
• ATT&CK updates (v20, ตุลาคม พ.ศ. 2569)
• ATT&CK updates (v19, เมษายน พ.ศ. 2569)
• Enterprise tactics
• T1566.001 Phishing: Spearphishing Attachment
• T1053.005 Scheduled Task/Job: Scheduled Task
• DET0236 detection strategy ของ Spearphishing Attachment
• MITRE ATT&CK: Design and Philosophy (มีนาคม พ.ศ. 2563)
• CISA: Best Practices for MITRE ATT&CK Mapping (มกราคม พ.ศ. 2566)
• ATT&CK Navigator
• ATT&CK Navigator README (GitHub)
• ATT&CK Navigator usage guide (GitHub)
• MITRE D3FEND
• เอกสาร D3FEND: Toward a Knowledge Graph of Cybersecurity Countermeasures
• D3FEND: T1566.001 Spearphishing Attachment
• ข้อมูล D3FEND API ของ T1566.001
• Microsoft Learn: View MITRE ATT&CK coverage in Microsoft Sentinel
• Elastic: Remap detection rules to MITRE ATT&CK v19