MITRE ATT&CK и покрытие правилами корреляции российских SIEM

Вендоры соревнуются в цифрах покрытия MITRE ATT&CK — 70%, 73%, 80% матрицы. Разбираем, как считается этот показатель, почему высокий процент не гарантирует реальную защиту и на что смотреть вместо голого числа.

Краткий вывод: процент покрытия MITRE ATT&CK — полезный ориентир для сравнения вендоров, но не абсолютный показатель качества детекции; важнее глубина покрытия критичных для вашей инфраструктуры тактик.

Что такое матрица MITRE ATT&CK

MITRE ATT&CK — открытая база знаний о тактиках, техниках и процедурах атакующих, структурированная по этапам атаки: от первоначального доступа до эксфильтрации данных. Каждая техника в матрице описывает конкретный способ, которым атакующие достигают цели на данном этапе.

Как считается процент покрытия

Вендор сопоставляет каждое правило корреляции с конкретной техникой или под-техникой матрицы и считает долю техник, для которых есть хотя бы одно детектирующее правило. У лидеров российского рынка — R-Vision SIEM и Security Vision — заявлено покрытие свыше 70% матрицы Enterprise.

Почему процент покрытия может быть обманчив

• Формальное покрытие техники одним правилом не означает надёжную детекцию — правило может срабатывать только в узком сценарии.
• Матрица включает сотни техник, многие из которых нерелевантны для конкретной инфраструктуры — например, техники для облачных сред неважны при полностью on-premise инфраструктуре.
• Высокий процент по всей матрице может скрывать слабое покрытие критичных для вашей отрасли тактик, например эксфильтрации данных.

На что смотреть вместо общего процента

• Покрытие конкретных тактик, релевантных вашей инфраструктуре и отрасли.
• Глубину детекции внутри каждой техники — сколько разных сценариев атаки покрывает каждое правило.
• Частоту обновления карты покрытия при появлении новых техник в матрице MITRE.
• Наличие покрытия специализированных матриц — MITRE ICS для промышленной инфраструктуры, если это применимо.

Как проверить реальное покрытие перед покупкой

Запросите у вендора детальную карту покрытия по тактикам, а не только итоговый процент, и проведите тестовую эмуляцию нескольких техник атаки на пилотной инсталляции — это покажет, срабатывает ли детекция на практике, а не только в документации.

Часто задаваемые вопросы

Какой процент покрытия MITRE ATT&CK считается хорошим?

Формального стандарта нет — у зрелых российских решений заявлено 70%+ матрицы Enterprise, но важнее релевантность покрытых техник вашей инфраструктуре.

Обновляется ли покрытие автоматически при выходе новых версий матрицы MITRE?

Нет, вендор должен вручную пересматривать и дополнять правила — уточняйте периодичность таких обновлений в договоре поддержки.

Нужно ли покрытие MITRE ICS обычной корпоративной компании?

Нет, эта матрица релевантна только для инфраструктуры с промышленными системами управления (SCADA, АСУ ТП).

Сравните заявленное покрытие MITRE ATT&CK у SIEM-платформ в каталоге platforms.su и запросите детальную карту покрытия у вендора.