روش استفاده از جدول ATT&CK برای سنجش بلوغ SOC

✍️روزبه نوروزی

۱. تعریف پایه

جدول MITRE ATT&CK نمایشی ساخت‌یافته از تاکتیک‌ها ، تکنیک‌ها ، و فرایندهای مهاجمان است.

این جدول، یک نقشه حمله (Threat Map) است که قدرتمندترین ابزار برای تحلیل‌شناسی، ارزیابی قابلیت تشخیص و پاسخ SOC و Gap Analysis به‌شمار می‌رود.

۲. گام‌های ارزیابی بلوغ با استفاده از ATT&CK

الف. ارزیابی پوشش تشخیصی (Detection Coverage Mapping)

لیستی از تکنیک‌های ATT&CK را استخراج میکنیم .
بررسی میکنیم در سازمان شما چه تکنیک‌هایی توسط SOC یا ابزارها (SIEM, EDR, NDR و…) قابل تشخیص و هشداردهی‌اند.
این کار معمولاً با ابزارهایی مثل MITRE ATT&CK Navigator یا فایل اکسل انجام می‌شود.

ب. سطح پاسخ (Response Capability Mapping)

فقط تشخیص کافی نیست؛ باید ببینید برای هر تکنیک:
آیا Playbook پاسخ‌ دارد؟
آیا حذف تهدید یا واکنش اتوماتیک یا نیمه‌اتوماتیک دارید؟
آیا تحلیلگرها می‌توانند مراحل حمله را بازسازی کنند و وضعیت lateral movement یا privilege escalation را تریاژ کنند؟

ج. تحلیل شکاف (Coverage Gap Analysis)

تکنیک‌هایی که پوشش ندارید یا فقط به صورت دستی پوشش می‌دهید، ضعف بلوغ است.
هر چه تعداد تکنیک‌هایی که تا انتها (Detection → Investigation → Response) پوشش قوی‌تری دارند، بالاتر است، سطح بلوغ SOC بالاتر خواهد بود.

۳. نگاشت سطوح بلوغ به ATT&CK
سطح ۱ و ۲ (Initial/Defined)

فقط پوشش محدود بر تکنیک‌های رایج (مثل Credential Dumping, Command & Control رایج، Malware Initial Access)
تحلیل داده‌ها دستی، پاسخ عمدتاً واکنشی و غیراستاندارد (بدون پیروی از ATT&CK)

سطح ۳ (Managed)

برای تکنیک‌های شایع، Alert استاندارد و Playbook پایه ‌(Contain, Investigate) وجود دارد
بخش قابل‌توجهی از ماتریس ATT&CK پوشش داده می‌شود، hunting برای برخی تاکتیک‌ها انجام می‌شود

سطح ۴ (Quantitative Managed)

بخش بزرگی از تکنیک‌های جدول ATT&CK، پوشش قاعده‌مند (Rule, Alert, Use Case) دارد
SOC مجهز به Threat Hunting ساختارمند منطبق با ATT&CK
داشتن Incident Response Playbook برای اکثر تاکتیک‌ها
میزان Gap Coverage در حال کاهش است، KPI پوشش مرتباً سنجیده می‌شود

سطح ۵ (Optimizing)

تقریباً کل ماتریس ATT&CK سازمان، پوشش فعال (تشخیص، تحلیل، پاسخ، APT Detection)
اتوماسیون پیشرفته، استفاده از AI/ML برای تشخیص تکنیک‌های پیچیده و ناشناخته
به‌روزرسانی سریع Playbookها با تغییر تکنیک‌های واقعی مهاجمین (APTها)
Threat Intelligence داخلی، خارجی و همکاری با دیگر سازمان‌ها (ISAC)

۴. بومی‌سازی و مثال عملی

فرض کنید سازمانی از SIEM و یک EDR استفاده می‌کند. با کمک تیم SOC، برای هر ردیف جدول ATT&CK بررسی می‌کنیم:

کدام تکنیک به صورت خودکار تشخیص داده می‌شود؟
آیا روی آن event Playbook، Alert، یا Threat Hunting rule (مثلاً KQL/QL یا SPL) داریم؟
Process Injection، LSASS Dump، Golden Ticket، C2 over HTTP — هر کدام به صورت “پوشش دارد/ندارد/محدود” علامت بزنید

نتیجه:

اگر بیشتر تکنیک‌ها “بدون پوشش” یا “دستی” بودند → سطح بلوغ پایین
اگر پراکندگی پوشش کامل و Playbook پاسخ خودکار وجود دارد → سطح بلوغ بالا

۵. ابزار برای مستندسازی و نمایش حرفه‌ای (برای گزارش مدیریت)

استفاده از MITRE ATT&CK Navigator (نسخه آفلاین یا آنلاین) برای رنگ‌آمیزی سلول‌ها بر اساس پوشش (سبز: کامل، زرد: جزیی، قرمز: ناقص)
خروجی گرفتن اکسل یا PDF و درج عنوان “نقشه بلوغ SOC بر اساس ATT&CK”
قیاس با دیگر شرکت ها در صنعت خودمان یا استانداردهای صنعتی (Gartner, ENISA)

جمع‌بندی

با نگاه حرفه‌ای به جدول ATT&CK، اگر SOC شما:

هرچه تکنیک بیشتری را با سطح عمیق‌تر و خودکارتر شناسایی و پاسخ دهد،
هرچه Gapها را پیوسته شناسایی و کاهش دهد،
سطح بلوغ عملیاتی و مدیریتی بالاتری را نشان خواهد داد.

این روش، یکی از بهترین Benchmark حرفه‌ای‌های SOC جهانی است برای نشان دادن واقعی سطح maturity است (نه صرفاً ادعاهای کاتالوگی!).


#آکادمی_روزبه
مرکز تخصصی CISSP