Teknik numaraları listelemek bir kapsama analizi değildir. Asıl soru, o tekniğin sizin ortamınızda görünür olup olmadığıdır.
Raporun sonuna bir ATT&CK tablosu koymak yaygın bir alışkanlık. Tablo tek başına okuyucuya ne tespit edebildiğini söylemez.
Üç kolon ekleyin
Teknik numarasının yanına şunları yazın:
- Veri kaynağı — bu tekniği görmek için hangi log gerekli?
- Durum — o log toplanıyor mu, saklanıyor mu, ne kadar süre?
- Tespit — kural var mı, son ne zaman doğrulandı?
Bu üç kolon, tabloyu bir envanterden bir eylem listesine çevirir.
Kapsama yanılgısı
"200 teknikten 140'ını kapsıyoruz" cümlesi ölçü değildir. Teknikler eşit ağırlıkta değildir ve bir tekniğin onlarca alt varyantı olabilir. Kapsamayı sayıyla değil, sizi gerçekten hedefleyen aktörlerin kullandığı tekniklerle ölçün.
Doğrulama
Kural yazmak tespit değildir. Kuralın çalıştığını, kontrollü bir testle yılda en az bir kez doğrulayın ve doğrulama tarihini tabloya yazın.
