MITRE ATT&CK: a língua franca entre fornecedores

Dois fornecedores mandam o relatório mensal na mesma semana. Um informa que bloqueou 14 mil ameaças. O outro relata três incidentes de severidade alta e duas investigações em andamento.

Qual dos dois está protegendo melhor a sua empresa? Não dá para saber. Os dois números medem coisas diferentes, com critérios próprios, e nenhum deles descreve o que o atacante fez.

O MITRE ATT&CK existe para resolver exatamente esse problema — e é por isso que ele importa muito mais para quem compra segurança do que para quem opera.

A tese em uma frase: o ATT&CK não é nota de maturidade nem checklist de compra — é vocabulário; o ganho está em obrigar fornecedores diferentes a descreverem o mesmo ataque com os mesmos nomes, e a armadilha está em confundir cobertura declarada com defesa.

O que é o MITRE ATT&CK

É um catálogo público, mantido pela MITRE, do comportamento de atacantes reais. A organização é a parte útil: táticas são o objetivo do adversário naquele passo — acesso inicial, persistência, movimentação lateral, exfiltração. Técnicas são como ele consegue aquilo, cada uma com um identificador estável, como T1566 para phishing.

O tamanho ajuda a calibrar a expectativa. Na versão 19, publicada em abril de 2026, a matriz Enterprise reunia 15 táticas, 222 técnicas e 475 sub-técnicas. Essa mesma versão dividiu a tática Defense Evasion em duas — Stealth e Defense Impairment —, separando o que serve para não ser visto do que serve para desligar a defesa. Existem ainda matrizes próprias para Mobile e para ambientes industriais, que interessam a quem tem OT.

Um detalhe que muda a leitura: o ATT&CK cataloga o que já foi observado, não tudo o que é possível. Ele é descritivo, não normativo. Isso o torna confiável como vocabulário e inadequado como lista de obrigações.

Por que ele resolve a conversa entre fornecedores

O valor prático aparece quando você tem mais de um contrato — situação que descrevi em incidente com múltiplos fornecedores.

Sem vocabulário comum, cada fornecedor relata no formato dele. Com o identificador da técnica ao lado de cada alerta, o relatório do provedor de endpoint e o do provedor de nuvem passam a falar a mesma língua — e você enxerga que ambos estão descrevendo passos do mesmo ataque.

A coluna da direita é auditável. A da esquerda é impressão.

Um ataque comum, escrito na língua do MITRE ATT&CK

Vale ver a tradução acontecendo num caso banal, do tipo que aparece toda semana.

Um funcionário recebe um e-mail com anexo e abre (T1566.001, phishing com anexo). O anexo executa um script que baixa o segundo estágio (T1059, execução por interpretador). O invasor usa a credencial guardada no navegador para entrar no acesso remoto (T1078, conta válida). Cria uma tarefa agendada para voltar depois de qualquer reinicialização (T1053.005). E leva os arquivos por HTTPS, misturado ao tráfego normal (T1041, exfiltração pelo canal de comando).

Agora repare no que essa tradução permite. Cada passo tem um dono possível: o filtro de e-mail responde pelo primeiro, o EDR pelo segundo e quarto, o provedor de identidade pelo terceiro, a borda pelo quinto. Você consegue perguntar, fornecedor por fornecedor, qual passo ele teria visto.

Quase sempre o resultado dessa pergunta é desconfortável e útil: dois ou três passos têm cobertura sobreposta, e um passo — normalmente o terceiro, o uso de credencial legítima — não tem ninguém. Não é falha de fornecedor. É a fronteira entre contratos aparecendo com clareza, do jeito que só aparece quando existe vocabulário comum.

A armadilha do "cobrimos 100% do ATT&CK"

Essa frase aparece em proposta comercial com frequência, e ela merece ceticismo por três motivos independentes.

Cobertura não é binária. Detectar uma técnica exige contexto: sistema operacional, fonte de log ativa, configuração específica. Uma ferramenta que detecta a técnica no Windows e não no Linux costuma marcar a linha como coberta.

A matriz não é lista de requisitos. Boa parte das técnicas simplesmente não se aplica ao seu ambiente. Cobrir 100% de uma lista que inclui o que você não tem é métrica de vaidade.

Detecção não é resposta. Ver a técnica e não ter o que fazer a respeito continua sendo exposição — o assunto de contenção automática e do plano de resposta a incidentes.

A pergunta que substitui a métrica: mostre a evidência que a sua ferramenta gera para estas dez técnicas específicas, no meu ambiente. Quem tem produto responde com exemplos de alerta. Quem tem folheto responde com um mapa colorido.

Como usar sem virar projeto de seis meses

O erro mais comum é começar pela matriz inteira. Ninguém termina.

Comece por dez técnicas ligadas ao que mais ameaça o seu negócio. Para a maioria das empresas brasileiras, a lista inicial é previsível: phishing como acesso inicial, uso de credencial válida, execução por script, persistência por tarefa agendada, movimentação lateral por serviço remoto, coleta e exfiltração por canal web.

Para cada uma, responda a três perguntas curtas. Eu detecto isso hoje? Com qual fonte de log? Alguém veria o alerta em menos de uma hora?

O que sobra dessa planilha é uma lista de lacunas — e lacuna é o único produto útil do exercício. Ela vira entrada direta para a fila do orçamento de segurança, com uma vantagem grande sobre a proposta que chega pronta: a prioridade nasceu do seu ambiente.

Se você contrata teste de intrusão, peça o relatório mapeado por técnica. Isso torna o resultado do pentest comparável com o que a sua detecção viu — ou deixou de ver — durante o teste.

Onde o ATT&CK não ajuda

Sendo justo com o framework: ele é bom no que se propõe e ruim no que não se propõe.

Ele não diz a probabilidade de um ataque acontecer com você. Não diz o impacto financeiro. Não cobre fraude, erro humano, indisponibilidade por falha de infraestrutura, nem risco contratual de fornecedor. E não substitui gestão de vulnerabilidade — saber que existe a técnica não diz qual correção está pendente no seu parque, assunto de gestão de vulnerabilidades.

Tratar a matriz como plano de segurança produz um efeito colateral silencioso: o time passa a perseguir cobertura técnica e para de olhar para o risco do negócio. São coisas diferentes, e só uma delas paga a conta.

O ponto que fica

O MITRE ATT&CK é a coisa mais próxima de um idioma comum que a segurança conseguiu construir. Isso é muito, num mercado onde cada fornecedor tem incentivo para descrever o próprio trabalho com a própria régua.

Use como idioma: exija o identificador da técnica em alerta e em relatório de incidente. Use como mapa de lacunas: dez técnicas, três perguntas, uma lista do que falta. E desconfie de qualquer uso do framework que termine num número redondo de cobertura.

A pergunta de verificação, para a próxima reunião com fornecedor: quais das dez técnicas que eu listei vocês detectam, com que evidência, e o que acontece depois que o alerta aparece?