Wykrywanie oparte na ATT&CK dla agencji federalnych

Wykrywanie oparte na ATT&CK dla agencji federalnej polega na wdrażaniu zasad wykrywania mapowanych do technik MITRE ATT&CK, tłumaczeniu tych zasad na własny SIEM agencji oraz mierzeniu pokrycia, aby agencja mogła wyprodukować audytowalny dowód, że wykrywanie działa.

Agencje federalne działają zgodnie z rozkazami wykonawczymi, notatkami OMB oraz celami wydajnościowymi, które wskazują na jeden skutek operacyjny: wykrywanie technik przeciwnika w systemach telemetrycznych agencji oraz produkowanie dowodów, że wykrywanie działa.

Trzy komponenty zapewniają ten wynik. Źródło treści wykrywania mapowanego do ATT&CK dostarcza zasady. Warstwa translacji przekształca każdą zasadę na natywny język zapytania używany przez wdrożony SIEM agencji, czy to Microsoft Sentinel, Splunk, czy Elastic. Pętla pomiaru pokrycia dowodzi, które techniki ATT&CK są pokryte, które nie są, a kiedy pokrycie było ostatnio zatwierdzone.

Bez tych trzech elementów agencja ma albo wykrycie, którego nie może udowodnić, albo dowód, na który nie może działać. Ta strona mapuje wskazówki federalne na wymagania dotyczące wykrywania i daje federalnemu nabywcy pytania do zadania dowolnemu dostawcy treści wykrywania.

Jakie narzędzia pomagają szybko wdrożyć wykrywanie oparte na ATT&CK w agencji federalnej?

Trzy kategorie narzędzi wdrażają wykrywanie oparte na ATT&CK w agencji federalnej: źródło treści wykrywania, warstwa translacji i pętla pomiaru pokrycia. Każda z nich może pochodzić od dostawcy, z otwartego źródła lub z wewnętrznych prac inżynieryjnych. Federalny nabywca powinien oceniać każdą z nich niezależnie, ponieważ każda może pochodzić od innego dostawcy.

Komponent	Funkcja	Przykłady neutralne
Źródło treści wykrywania mapowanego do ATT&CK	Gotowe reguły wykrywania, każda mapowana do techniki MITRE ATT&CK	SOC Prime Prime Hunt, Sigma reguły społeczności, podpisy wykrycia CISA, natywne pakiety treści z Microsoft Sentinel, Splunk, Elastic
Warstwa translacyjna	Konwertuje logikę wykrywania do języka zapytań, z którego korzysta SIEM agencji	SOC Prime Uncoder, Sigma CLI, ręczne przenoszenie reguł
Pętla pomiaru pokrycia	Mapuje, które techniki ATT&CK mają wdrożone, zatwierdzone wykrycia, a które mają luki	MITRE ATT&CK Navigator, niestandardowe heatmapy ATT&CK, pulpity pokrycia dostawców

Samo źródło treści nie jest zdolnością wykrywania, a narzędzie translacji samo w sobie nie jest pokryciem. Pętla pomiaru łączy je, dostarczając dowód, który audytor lub inspektor generalny może zweryfikować.

Źródło treści wykrywania. Biblioteka reguł mapowanych do ID technik MITRE ATT&CK, opracowanych i utrzymywanych w tempie odpowiadającym opublikowanej aktywności zagrożeń. Źródła obejmują wewnętrzną inżynierię wykrywania zespołów piszących reguły w , strumienie treści dostarczane przez dostawców, takie jak Sigma, platforma treści wykrywania, społeczność reguł Sigma z otwartym kodem źródłowym i własne repozytorium ATT&CK MITRE. SOC PrimeWarstwa translacyjna.

Konwertuje reguły z formatu przenośnego do natywnej składni zapytań SIEM agencji. Dla Microsoft Sentinel oznacza to KQL. Dla Splunk – SPL. Dla Elastic – KQL lub EQL. SOC Prime Uncoder obsługuje tę translację na różnych platformach. Ręczna konwersja i narzędzia importowe natywne dla platformy są alternatywami, chociaż niosą ze sobą koszt pracy per reguła, który rośnie wraz z objętością reguł. Pętla pomiaru pokrycia.

Mapuje wdrożone reguły z powrotem do macierz ATT&CK i identyfikuje luki w technikach. MITRE’s ATT&CK Navigator to darmowe, szeroko stosowane narzędzie do tej wizualizacji. Pętla to miejsce, skąd pochodzą pięć klas dowodów szukanych przez inspektora generalnego. Te pięć klas dowodów to główny motyw tej strony.

Klasa dowodowa

#	Co udowadnia	Zebrane źródła logów
1	Która telemetria jest przechwytywana, z których systemów i że zbieranie jest ciągłe	Wdrożone reguły
2	Każda reguła wykrywania mapowana do swojej techniki ATT&CK i zobowiązania, które wspiera, z wyznaczonym właścicielem	Dowód uruchomienia
3	Reguły uruchomione na rzeczywistych lub emulowanych zdarzeniach, a alerty dotarły do reagujących	Historia zmian
4	Kto zmienił regułę, kiedy i dlaczego, z kontrolą wersji i śladem przeglądu	Datowany raport pokrycia
5	Pokrycie w określonym czasie z datą, aby trend i aktualność były udowadnialne	Dostawca może dostarczyć źródło treści i warstwę translacyjną. Pętla pomiaru często wymaga, aby agencja skonfigurowała swoje własne raportowanie z eksportów ATT&CK Navigatora, pulpitów SIEM lub analiz pokrycia stron trzecich. Pętla pomiaru to element, którego najczęściej brakuje agencjom.

Nakładka z

Prime Hunt tylko do odczytu mapuje źródła logów, które agencja już zbiera, na ATT&CK i wypisuje techniki, które nie mają telemetrii.

Skontaktuj się ze sprzedażą

Jak wytyczne dotyczące obrony informowanej przez zagrożenia CISA i NSA przekładają się na wymagania dotyczące wykrywania?

Wytyczne federalne określają wyniki, nie konkretne narzędzia wykrywania. CISA, często wspólnie z NSA, publikuje porady i wytyczne, które określają, co agencje muszą osiągnąć w wykrywaniu i monitorowaniu. Mapowanie każdego dokumentu z wytycznymi do zdolności wykrywania, którą sugeruje, a następnie do dowodów, które ta zdolność produkuje, daje kierownikowi programu ścieżkę dowodu od dyrektywy do dowodu operacyjnego.

Wytyczne	Sugerowana zdolność wykrywania	Co udowadnia
OMB M-26-14 (22 maja 2026, unieważnia M-21-31)	Zbieranie logów mierzonych na poziomie systemu informacyjnego w pięciopoziomowym modelu dojrzałości logowania, poziom 0 do poziomu 4	Która telemetria jest przechwytywana, z których systemów i że zbieranie jest ciągłe
EO 14144 (16 stycznia 2025) zmieniony przez EO 14306 (6 czerwca 2025)	Identyfikacja zagrożeń w całym przedsiębiorstwie federalnym: poszukiwanie zagrożeń przez CISA oraz dane o wykrywaniu i reagowaniu na końcówkach agencji (EO 14144 Sec. 3(c), przepisana na Sec. 3(a) przez EO 14306)	Wdrożone reguły, dowód uruchomienia
Najlepsze praktyki CISA dla mapowania ATT&CK MITRE (v2.0, styczeń 2023) i narzędzie Decider tool	Strukturalna atrybucja technik ATT&CK na wdrożonych wykryciach	Wdrożone reguły (mapowane do ATT&CK)
CISA Cross-Sector CPG 2.0 (11 grudnia 2025)	Podstawowe cele wydajnościowe dla wykrywania i reagowania, w tym funkcja Zarządzanie dodana w wersji 2.0	Wdrożone reguły, datowany raport pokrycia
NIST SP 800-61 Rev 3 (końcowy, 3 kwietnia 2025, profil społeczności CSF 2.0)	Dowody z łańcucha od wykrycia do reagowania zgodnie z CSF 2.0	Dowód uruchomienia, historia zmian
Wspólne porady dotyczące cyberbezpieczeństwa CISA/NSA	Pokrycie technik ATT&CK przeciwwskaz technikom i kampaniom nazwanym zagrożeniem	Wdrożone reguły względem nazwanych technik

Jedna linia niesie całe tabelę: wytyczne dotyczące obrony informowanej przez zagrożenia implikują wdrożenia wykryć mapowanych do ATT&CK w systemach telemetrycznych agencji, a pięć klas dowodów potwierdza istnienie zdolności.

Notatka OMB z 22 maja 2026 zastąpiła poziomy dojrzałości EL0 przez EL3 z M-21-31 ujednoliconą ramą do logowania i widoczności. Notatka skierowała CISA do stworzenia Architektury Odniesienia Logowania zgodnie z nową ramą. Agencje, które zbudowały programy logowania wokół starych poziomów, powinny zweryfikować swoją obecną postawę wobec notatki z 2026.

MITRE ATT&CK nie jest wymagany przez żadną z tych dyrektyw. Organizuje dowody w sposób umożliwiający mierzenie pokrycia i nazywanie luk technicznych we wszystkich z nich. Federalny nabywca, który może wyprodukować pięć klas dowodów, jest defensywny niezależnie od tego, która konkretnie dyrektywa ma zastosowanie.

Jak zamknąć luki technicznych APT, gdy nie można zatrudnić wykwalifikowanych inżynierów wykrywania wystarczająco szybko?

Kupuj warstwę wykrywania jako towar. Buduj warstwę specyficzną dla agencji.

Dlaczego rekrutacja do wykrywania federalnego jest opóźniona

Inżynieria wykrywania w agencji federalnej napotyka ograniczenia, których nie doświadczają zespoły komercyjne. Wymagania dotyczące zgodności zawężają pulę do zatrudnienia. Czas wprowadzania się wydłuża, zanim nowy pracownik dotknie systemów produkcyjnych. Rotacja wymusza cykl ponownego zatrudnienia i ponownego wdrożenia, który zwiększa opóźnienie.

Zasoby komercyjne

Komercyjne TTP, techniki wspólne dla grup APT i przestępców na wspólnych platformach, są publikowane przez badaczy zagrożeń i tłumaczone na platformy SIEM przez dostawców treści niezależnych od sprzedawców. Agencja wykorzystująca Microsoft Sentinel, Splunklub Elastic Security w różnych obszarach misji może źródłować gotową, mapowaną logikę wykrywania dla technik komercyjnych zamiast tworzyć każdą regułę w każdym języku zapytań.

Gdzie wykwalifikowani inżynierowie dodają wartość

Wykwalifikowani inżynierowie agencji koncentrują się na tym, co tylko oni mogą robić:

Logika wykrywania przeciwko tajemniczemu wywiadowi zagrożeń i telemetrii specyficznej dla agencji.

Dopasowanie zidentyfikowanej zawartości do źródeł logów agencji i podstawowych zachowań. Gotowa zawartość powoduje fałszywe alarmy, dopóki nie zostanie dostosowana do środowiska.

Walidacja. Każda reguła, kupiona lub zbudowana, wymaga dowodu uruchomienia w środowisku agencji, zanim można ją uznać za wdrożoną. Reguła, która się parsuje, nie jest regułą, która się uruchamia.

Reakcja operacyjna. Wykrywanie bez reakcji to pulpit. Wykwalifikowani analitycy badają, izolują i naprawiają.

Subskrypcja źródła treści wykrywania przekształca część zmiennego problemu zatrudnienia w stały wydatek, przekierowując zasoby osobowe na dochodzenia, dostosowywanie środowiska, weryfikację i reakcję na incydenty, zamiast odtwarzać wykrycia, które szersza społeczność już napisała i przetestowała.

Źródłowanie treści zwiększa zdolności inżynierii wykrywania. Nie zastępuje personelu sprawdzonego i nie eliminuje potrzeby weryfikacji i dostrojenia. Każde twierdzenie dostawcy, że źródłowanie treści eliminuje etap walidacji, zasługuje na dokładną analizę.

Jak szybko powinna się przekształcać porada w wdrożone wykrycie?

Mierz czas od niezależnej porady CISA lub NSA do weryfikacji, uruchomienia wykrywania w systemie SIEM agencji. To okno to miara, a każda agencja federalna powinna być w stanie je raportować dla swoich najnowszych porad. Dla porównania SOC Prime publikuje 24-godzinne SLA dla treści wykrywania wobec pojawiających się zagrożeń.

Krok	Działanie	Właściciel
1	Porada opublikowana (CISA, NSA lub sektor ISAC)	Zewnętrzny
2	Autor lub źródło logiki wykrywania obejmująca nazwane techniki ATT&CK	Źródło treści lub wewnętrzny inżynier
3	Reguła przetłumaczona na język zapytań SIEM agencji i wdrożona	Warstwa translacyjna lub wewnętrzny inżynier
4	Reguła zatwierdzona: dowód uruchomienia względem emulowanych lub rzeczywistych zdarzeń	Agencja (zawsze)

Okno obejmuje trzy segmenty:

Reguła jest opracowana lub pozyskana dla techniki nazwanej w poradzie.
Reguła jest przetłumaczona na natywny język zapytania SIEM agencji.
Reguła jest walidowana wobec telemetrii agencji, aby potwierdzić, że się uruchamia i nie generuje niedopuszczalnej liczby fałszywych alarmów.

Każdy segment jest mierzalny niezależnie, a wąskie gardło różni się w zależności od agencji. Niektóre reguły są szybko źródłowe, ale brakuje im zdolności tłumaczenia dla ich specyficznego dialektu SIEM. Inne szybko tłumaczą, ale brakuje im infrastruktury walidacyjnej.

Dostawca treści wykrywania kompresuje krok 2 i 3. Krok 4 pozostaje odpowiedzialnością agencji, niezależnie od pochodzenia treści. Nabywca oceniający twierdzenie o szybkości dostawcy powinien zapytać, które z tych trzech segmentów obejmuje i które nie.

Śledź pełne okno dla każdej porady. Ustal cel agencji. Raportuj wobec niego. Każda porada generuje datowany zapis: ID porady, pokryte techniki, ID reguł, data wdrożenia, data walidacji. Ten zapis jest audytowalny i wykazuje, że postawa obronna agencji informowana zagrożeniami jest aktualna.

Jakie pytania powinien zadać federalny nabywca dostawcy treści wykrywania o model wdrożenia, obsługę danych i łańcuch dostaw?

Te pytania dotyczą każdego dostawcy treści wykrywania, w tym SOC Prime. Odpowiedzi stanowią wejścia do due diligence, a nie różnicę marketingową.

Model wdrożenia

Ask	Dlaczego to ma znaczenie
Jaki jest model hostingu? Chmura, on-premises, hybrydowy?	Określa, czy platforma może działać w ramach sieci agencji
Jakiej łączności sieciowej wymaga platforma?	Wymagania dotyczące łączności wychodzącej wpływają na umiejscowienie w segmentowanych lub ograniczonych sieciach
Jakiego dostępu wymaga platforma do infrastruktury SIEM lub logów agencji?	Zakres dostępu ustala 'promień wybuchu’, jeśli dostawca zostanie skompromitowany
Jak dostarczane i stosowane są aktualizacje treści wykrywania?	Push vs. pull, częstotliwość i mechanizm integralności aktualizacji

Obsługa danych

Ask	Dlaczego to ma znaczenie
Jakie dane przetwarza platforma? Tylko treści wykrywania, czy telemetrię agencji?	Określa klasyfikację danych, którą platforma musi obsługiwać
Czy platforma wymaga surowych danych logów, czy działa tylko na metadanych?	Zawęża wrażliwość, czego dostawca może dotknąć
Gdzie dane są przetwarzane i przechowywane? Którzy jurysdykcję?	Wpływa na wymogi suwerenności danych i zarządzania zapisami
Jak dane agencji są oddzielane od innych klientów?	Architektura multi-tenancy określa, czy możliwa jest ekspozycja między najemcami

Łańcuch dostaw i pochodzenie

Ask	Dlaczego to ma znaczenie
Jak powstają treści wykrywania? Kto je tworzy? Jakie weryfikacje stosuje się do współpracowników?	Źródło reguł określa poziom zaufania i narażenie na ryzyko łańcucha dostaw
Jaki proces przeglądu i weryfikacji przechodzi treść przed dostawą?	Wskaźnik fałszywych alarmów i jakość wykrywania zależą od upstream QA
Jaka zapis pochodzenia towarzyszy każdej regule wykrywania?	Śledzenie od wdrożonej reguły do autora i rekordu przeglądu
Czy dostawca publikuje oprogramowanie wzorca materiałów?	Dostępność SBOM to podstawowa transparentność łańcucha dostaw

Neutralne ramy do oceny odpowiedzi dostawców: NIST SP 800-161 Rev. 1 Uaktualnienie 1 (cyberbezpieczeństwo zarządzania ryzykiem łańcucha dostaw), minimalne elementy SBOM oraz Formularz Poświadczenia Bezpiecznego Rozwoju Oprogramowania, który pozostaje dostępny, mimo że OMB M-26-05 (23 stycznia 2026) unieważniło wymóg rządowy ich zbierania.

Status autoryzacji

Ask	Dlaczego to ma znaczenie
Status autoryzacji FedRAMP i poziom wpływu?	Określa, czy platforma może przetwarzać dane federalne na wymaganym poziomie wpływu
Autoryzacja specyficzna dla agencji do działania?	Autoryzacja ATO przyznana przez inną agencję jest informacyjna, nieprzenoszalna

Nabywca powinien zweryfikować status autoryzacji bezpośrednio poprzez marketplace FedRAMP lub autoryzującą agencję, raczej niż polegać tylko na oświadczeniach dostawcy.

Kadencja aktualizacji i cykl życia

Ask	Dlaczego to ma znaczenie
Jak często publikowane są nowe treści wykrywania?	Aktualność pokrycia wobec pojawiających się technik
Jaki jest czas od publikacji techniki do dostępnego wykrywania i które segmenty obejmuje?	Zakresy twierdzeń o szybkości dostawcy wobec okna od porady do wykrywania powyżej
Jak dostawca wycofuje lub aktualizuje przestarzałe reguły?	Higiena cyklu życia reguły i kontrola zastojów
Jakie powiadomienie otrzymuje klient, gdy zmieni się wdrożona reguła?	Widoczność kontroli zmian dla własnego śladu audytowego agencji

Te pytania to dbałość o należyte procedury. Dostawca, który nie może ich jasno odpowiedzieć, to ryzyko, które agencja przyjmuje bez pomiaru.

Gdzie to nie działa

Ta strona dotyczy nieklasyfikowanych środowisk federalnych ze standardową łącznością sieciową.

Poza zakresem:

Środowisko	Dlaczego jest wykluczony
Klasyfikowane sieci	Źródła treści wykrywania w środowiskach klasyfikowanych wymagają możliwości, które nie zostały zweryfikowane dla żadnego dostawcy wymienionego na tej stronie
Operacje odcięte lub odizolowane	Nie stwierdzono zdolności żadnego dostawcy do dostarczania treści wykrywania w środowiskach odciętych
Telemetria unikalna dla agencji	Agencje z źródłami telemetrii poza standardowym parsowaniem logów SIEM mogą wymagać logiki wykrywania, której nie dostarcza żadne zewnętrzne źródło treści

Agencje działające zgodnie ze specyficznymi dla środowiska akredytacjami, takimi jak poziomy wpływu IL4, IL5 lub IL6 w ramach DoD, powinny zweryfikować status autoryzacji dowolnego dostawcy wobec konkretnej akredytacji, której ich środowisko wymaga. Pytania nabywcy w poprzedniej sekcji nadal mają zastosowanie, ale progi akceptowalnych odpowiedzi są wyższe.

Model trójskładowy (źródło treści, warstwa translacyjna, pętla pomiaru) ma zastosowanie w każdym środowisku. Czy konkretny dostawca może dostarczyć w środowisku klasyfikowanym lub odcięcia, to pytanie, które nabywca weryfikuje bezpośrednio z dostawcą i z urzędnikiem autoryzującym.

FAQ

Jakie narzędzia mogą pomóc w szybkim wdrożeniu wykrywania opartego na ATT&CK w agencji federalnej?

Trzy kategorie narzędzi: źródło treści wykrywania mapowane do ATT&CK, warstwa translacyjna, która konwertuje reguły do języka zapytań SIEM agencji, oraz pętla pomiaru pokrycia, która mapuje wdrożone wykrycia do technik ATT&CK. Każda z nich może być dostarczona przez dostawcę, z otwartego źródła lub zbudowana własnymi siłami. Pętla pomiaru to komponent, którego najczęściej brakuje agencjom.

Czy treści wykrywania pozyskiwane ze społeczności można ufać w federalnym środowisku?

Zaufanie zależy od trzech czynników: pochodzenia (kto sporządził regułę i pod jaką kontrolą), przeglądu (jaką walidację przeszła reguła przed dostawą) i walidacji w środowisku agencji (dowód, że reguła działa zgodnie z telemetrią agencji bez niedopuszczalnych fałszywych pozytywów). Pochodzenie reguły to czynnik ryzyka, nie dyskwalifikujący. Federalni nabywcy powinni pytać każdego dostawcę, w tym platformy społecznościowe, jaka zapis pochodzenia towarzyszy każdej regule.

Jakie dowody szuka inspektor generalny w federalnym programie wykrywania?

Pięć klas dowodów: zebrane źródła logów (która telemetria jest pobierana i zbieranie jest ciągłe), wdrożone reguły (każda mapowana do techniki ATT&CK i zobowiązania z wyznaczonym właścicielem), dowód uruchomienia (reguły uruchomione na rzeczywistych lub emulowanych zdarzeniach, a alerty dotarły do reagujących), historia zmian (kto zmienił regułę, kiedy i dlaczego) oraz datowany raport pokrycia (pokrycie w określonym czasie z datą, aby trend był udowadnialny).

Jak federalna agencja powinna mierzyć czas od porady CISA do wdrożonego wykrywania?

Śledź cztery kroki dla każdej porady: porada opublikowana, autor lub źródło logiki wykrywania, reguła przetłumaczona i wdrożona do SIEM agencji, oraz reguła zatwierdzona z dowodem uruchomienia. Ustal cel agencji na pełne okna. Zarejestruj ID każdej porady, pokryte techniki, ID reguł, datę wdrożenia i datę zatwierdzenia. Ten zapis jest audytowalny.

Czy MITRE ATT&CK jest wymagany przez federalne dyrektywy cyberbezpieczeństwa?

Żadna federalna dyrektywa nie nakazuje MITRE ATT&CK z nazwy. ATT&CK organizuje dowody wykrywania, więc pokrycie jest mierzalne, a technik niedobór jest nazywalny w ramach dyrektyw. Federalny nabywca, który może wyprodukować pięć klas dowodów (zebrane źródła logów, wdrożone reguły, dowód uruchomienia, historia zmian, datowany raport pokrycia) jest defensywny względem audytów, niezależnie od tego, która dyrektywa ma zastosowanie.

Ocena MITRE ATT&CK przeprowadzona przez inżynierów SOC Prime ocenia widoczność i zdolności wykrywania w całym SIEM lub EDR agencji i zwraca luki z zaleceniami.

Skontaktuj się ze sprzedażą