📢 Сравнение MITRE ATT&CK и NIST CSF
🔒 В мире ИБ существует множество фреймворков, помогающих организациям защищать свои данные и инфраструктуру. Два из самых популярных — это MITRE ATT&CK и NIST Cybersecurity Framework (CSF). Давайте разберёмся, чем они отличаются и как их можно эффективно использовать.
📊 MITRE ATT&CK: Ориентированный на тактики и техники
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) — это база, которая детально описывает тактики, техники и процедуры (TTPs), используемые киберпреступниками. Она предоставляет информацию о различных методах атак, что помогает организациям понять, как злоумышленники могут действовать на каждом этапе взлома.
Основные особенности MITRE ATT&CK:
- Тактики: Высокоуровневые цели атак, такие как первоначальный доступ или эксфильтрация данных.
- Техники: Конкретные методы, используемые для достижения тактических целей.
- Митигирования: Рекомендации по снижению риска для каждой техники.
MITRE ATT&CK используется для анализа угроз, разработки защитных мер и тестирования эффективности киберзащиты.
🔐 NIST CSF: Фреймворк для управления киберрисками
NIST Cybersecurity Framework (CSF) был разработан Национальным институтом стандартов и технологий США для управления киберрисками в организациях. Он предоставляет структурированный подход к улучшению кибербезопасности через пять ключевых функций: Identify, Protect, Detect, Respond, Recover.
Основные особенности NIST CSF:
- Identify: Определение и управление киберрисками.
- Protect: Внедрение защитных мер для снижения рисков.
- Detect: Обнаружение киберинцидентов.
- Respond: Реакция на киберинциденты.
- Recover: Восстановление после кибератак.
NIST CSF помогает организациям оценивать текущий уровень безопасности, определять целевые состояния и разрабатывать планы улучшений.
💡 Многие организации находят полезным использовать оба фреймворка в сочетании. MITRE ATT&CK может служить дополнением к NIST CSF, предоставляя детальные тактики и техники для улучшения функций Detect и Respond.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #MITREATTACK #NISTCSF #RiskManagement #ThreatDetection #DataProtection #TechNews #CyberAwareness
🔒 В мире ИБ существует множество фреймворков, помогающих организациям защищать свои данные и инфраструктуру. Два из самых популярных — это MITRE ATT&CK и NIST Cybersecurity Framework (CSF). Давайте разберёмся, чем они отличаются и как их можно эффективно использовать.
📊 MITRE ATT&CK: Ориентированный на тактики и техники
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) — это база, которая детально описывает тактики, техники и процедуры (TTPs), используемые киберпреступниками. Она предоставляет информацию о различных методах атак, что помогает организациям понять, как злоумышленники могут действовать на каждом этапе взлома.
Основные особенности MITRE ATT&CK:
- Тактики: Высокоуровневые цели атак, такие как первоначальный доступ или эксфильтрация данных.
- Техники: Конкретные методы, используемые для достижения тактических целей.
- Митигирования: Рекомендации по снижению риска для каждой техники.
MITRE ATT&CK используется для анализа угроз, разработки защитных мер и тестирования эффективности киберзащиты.
🔐 NIST CSF: Фреймворк для управления киберрисками
NIST Cybersecurity Framework (CSF) был разработан Национальным институтом стандартов и технологий США для управления киберрисками в организациях. Он предоставляет структурированный подход к улучшению кибербезопасности через пять ключевых функций: Identify, Protect, Detect, Respond, Recover.
Основные особенности NIST CSF:
- Identify: Определение и управление киберрисками.
- Protect: Внедрение защитных мер для снижения рисков.
- Detect: Обнаружение киберинцидентов.
- Respond: Реакция на киберинциденты.
- Recover: Восстановление после кибератак.
NIST CSF помогает организациям оценивать текущий уровень безопасности, определять целевые состояния и разрабатывать планы улучшений.
💡 Многие организации находят полезным использовать оба фреймворка в сочетании. MITRE ATT&CK может служить дополнением к NIST CSF, предоставляя детальные тактики и техники для улучшения функций Detect и Respond.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #MITREATTACK #NISTCSF #RiskManagement #ThreatDetection #DataProtection #TechNews #CyberAwareness
🚨 GPT проигрывает классическим подходам ИБ
Разметка MITRE ATT&CK показала пределы LLM
🧠 Автоматическая разметка текстов по MITRE
ATT&CK давно остаётся одной из самых востребованных задач в кибербезопасности. Каждый день аналитики читают отчёты, threat intelligence, сценарии атак и описания уязвимостей, связывая их с тактиками и техниками противника. Это монотонная, дорогая и плохо масштабируемая работа. Не удивительно, что попытки её автоматизировать ведутся уже больше десяти лет.
📄 В январе 2026 года команда JPMorgan Chase опубликовала техническую работу, которая пытаеся решить проблему в новом ключе. Авторы напрямую сравнили GPT-4o и классический машинный подход, SGD-классификатор на TF-IDF.
👉 Arxiv
⚙️ Эксперимент был предельно прагматичным. Моделям давали отдельные предложения из threat intelligence и просили определить соответствующую тактику MITRE ATT&CK.
Классическая модель показала около 82% точности, GPT-4o остановился примерно на 59%. Разница особенно заметна в редких тактиках и в ситуациях, где требуется строгое соответствие идентификаторам и терминологии ATT&CK.
🧩 Как авторы посмотрели на задачу.
«Разметка MITRE» не один шаг, а целый спектр задач разной сложности. В реальности один текст может соответствовать сразу нескольким тактикам, а каждая тактика нескольким техникам, связанным иерархически. Такая структура зачастую теряется в автоматизации.
🏗️ Решение JPMorgan построено снизу вверх и повторяет логику мышления аналитика. Текст разбивается на предложения, каждое предложение превращается в TF-IDF-вектор, после чего на первом уровне модель предсказывает несколько наиболее вероятных тактик. На втором уровне для каждой тактики используются отдельные модели, определяющие подходящие техники. В результате получается иерархическая мульти-лейбл разметка вида «тактика → техника», а не плоский список тегов.
📊 Этот подход даёт ощутимый прирост качества. При выборе трёх наиболее вероятных тактик точность на уровне тактик достигает около 94%, а при иерархической классификации техник примерно 82%. Важно и то, что система не допускает логических ошибок, когда техника предсказана без соответствующей ей тактики.
🔐 Отдельного внимания заслуживает инженерная деталь: авторы добавили хеширование признаков на этапе векторизации. Это позволяет защищать чувствительные данные и почти не влияет на качество модели. Благодаря этому решения можно безопасно распространять.
🧭 В итоге работа формулирует спокойный, но важный вывод. Ограничения автоматизации MITRE ATT&CK связаны не с тем, насколько «умна» модель, а с тем, насколько точно мы формализуем задачу. Иерархия, мульти-лейблы, строгие таксономии и объяснимость здесь важнее универсальной генерации текста.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #MITREATTACK #ThreatIntelligence #MachineLearning #LLM #SOC #AIinSecurity #BlueTeam #InfoSec
Разметка MITRE ATT&CK показала пределы LLM
🧠 Автоматическая разметка текстов по MITRE
ATT&CK давно остаётся одной из самых востребованных задач в кибербезопасности. Каждый день аналитики читают отчёты, threat intelligence, сценарии атак и описания уязвимостей, связывая их с тактиками и техниками противника. Это монотонная, дорогая и плохо масштабируемая работа. Не удивительно, что попытки её автоматизировать ведутся уже больше десяти лет.
📄 В январе 2026 года команда JPMorgan Chase опубликовала техническую работу, которая пытаеся решить проблему в новом ключе. Авторы напрямую сравнили GPT-4o и классический машинный подход, SGD-классификатор на TF-IDF.
⚙️ Эксперимент был предельно прагматичным. Моделям давали отдельные предложения из threat intelligence и просили определить соответствующую тактику MITRE ATT&CK.
Классическая модель показала около 82% точности, GPT-4o остановился примерно на 59%. Разница особенно заметна в редких тактиках и в ситуациях, где требуется строгое соответствие идентификаторам и терминологии ATT&CK.
🧩 Как авторы посмотрели на задачу.
«Разметка MITRE» не один шаг, а целый спектр задач разной сложности. В реальности один текст может соответствовать сразу нескольким тактикам, а каждая тактика нескольким техникам, связанным иерархически. Такая структура зачастую теряется в автоматизации.
🏗️ Решение JPMorgan построено снизу вверх и повторяет логику мышления аналитика. Текст разбивается на предложения, каждое предложение превращается в TF-IDF-вектор, после чего на первом уровне модель предсказывает несколько наиболее вероятных тактик. На втором уровне для каждой тактики используются отдельные модели, определяющие подходящие техники. В результате получается иерархическая мульти-лейбл разметка вида «тактика → техника», а не плоский список тегов.
📊 Этот подход даёт ощутимый прирост качества. При выборе трёх наиболее вероятных тактик точность на уровне тактик достигает около 94%, а при иерархической классификации техник примерно 82%. Важно и то, что система не допускает логических ошибок, когда техника предсказана без соответствующей ей тактики.
🔐 Отдельного внимания заслуживает инженерная деталь: авторы добавили хеширование признаков на этапе векторизации. Это позволяет защищать чувствительные данные и почти не влияет на качество модели. Благодаря этому решения можно безопасно распространять.
🧭 В итоге работа формулирует спокойный, но важный вывод. Ограничения автоматизации MITRE ATT&CK связаны не с тем, насколько «умна» модель, а с тем, насколько точно мы формализуем задачу. Иерархия, мульти-лейблы, строгие таксономии и объяснимость здесь важнее универсальной генерации текста.
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #MITREATTACK #ThreatIntelligence #MachineLearning #LLM #SOC #AIinSecurity #BlueTeam #InfoSec
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3
🔐 LLM проверили в условиях, приближённых к SOC
Моделям предложили самостоятельно искать атаки.
28 апреля вышел новый бенчмарк от Simbian, один из первых, где языковые модели тестируют не на знание терминов, а на способность работать как аналитик кибербезопасности.
🧪 Как устроен бенчмарк?
Модели поместили в среду, максимально приближенную к реальной. Они анализировали поток событий (Windows Security, Sysmon), внутри которого были спрятаны цепочки атак. Не отдельные техники, а полноценные сценарии.
При этом модели не знали, есть ли атака в данных и сколько их. Фактически от них требовалось провести расследование: выделить слабые сигналы, проверить гипотезы и принять решение в условиях неопределённости.
Именно это отличает новый бенчмарк от всех предыдущих.
📊 Лидер есть, но нет оптимизма
Лучший результат показала Claude Opus 4.6: около 46% обнаруженных атак. При этом доля срабатываний от общего потока событий составила лишь ~4–5%, что подчёркивает слабую чувствительность в реальном шуме.
Модели среднего уровня, включая GPT-4o, демонстрировали нестабильность: они могли корректно выявлять отдельные техники, но регулярно теряли целые цепочки атак.
Наихудшие результаты показали компактные модели вроде GPT-4o mini, порядка 1–2% обнаружения, что практически эквивалентно слепому поиску.
Разница между моделями значительная, но огорчает другое: ни одна из них не достигает уровня, пригодного для реальной автономной защиты.
⚠️ Преждевременное завершение анализа
Особенно любопытно поведение моделей, которое сложно выявить в классических тестах. Часть из них самостоятельно прекращала анализ, решив, что данных уже достаточно для вывода (при этом атаки в логах могли продолжаться).
Когда система не только не сигнализирует о проблеме, но и уверенно сообщает, что всё в порядке, то думаешь на кой она вообще нужна?
🤯 Почему модели не справляются
Атака - это задача с чётким критерием успеха, а защита про поиск неизвестного в потоке шума без гарантии, что сигнал вообще присутствует.
LLM, обученные на задачах с “правильным ответом”, в такой среде теряют устойчивость. Им не хватает ни механизмов самопроверки, ни способности поддерживать длительное расследование.
🔗 Ссылка на бенчмарк
Stay secure and read SecureTechTalks 📚
#кибербезопасность #LLM #SOC #ThreatHunting #AIsecurity #MITREATTACK #BlueTeam #CyberDefense #InfoSec #SecureTechTalks
Моделям предложили самостоятельно искать атаки.
28 апреля вышел новый бенчмарк от Simbian, один из первых, где языковые модели тестируют не на знание терминов, а на способность работать как аналитик кибербезопасности.
🧪 Как устроен бенчмарк?
Модели поместили в среду, максимально приближенную к реальной. Они анализировали поток событий (Windows Security, Sysmon), внутри которого были спрятаны цепочки атак. Не отдельные техники, а полноценные сценарии.
При этом модели не знали, есть ли атака в данных и сколько их. Фактически от них требовалось провести расследование: выделить слабые сигналы, проверить гипотезы и принять решение в условиях неопределённости.
Именно это отличает новый бенчмарк от всех предыдущих.
📊 Лидер есть, но нет оптимизма
Лучший результат показала Claude Opus 4.6: около 46% обнаруженных атак. При этом доля срабатываний от общего потока событий составила лишь ~4–5%, что подчёркивает слабую чувствительность в реальном шуме.
Модели среднего уровня, включая GPT-4o, демонстрировали нестабильность: они могли корректно выявлять отдельные техники, но регулярно теряли целые цепочки атак.
Наихудшие результаты показали компактные модели вроде GPT-4o mini, порядка 1–2% обнаружения, что практически эквивалентно слепому поиску.
Разница между моделями значительная, но огорчает другое: ни одна из них не достигает уровня, пригодного для реальной автономной защиты.
⚠️ Преждевременное завершение анализа
Особенно любопытно поведение моделей, которое сложно выявить в классических тестах. Часть из них самостоятельно прекращала анализ, решив, что данных уже достаточно для вывода (при этом атаки в логах могли продолжаться).
Когда система не только не сигнализирует о проблеме, но и уверенно сообщает, что всё в порядке, то думаешь на кой она вообще нужна?
🤯 Почему модели не справляются
Атака - это задача с чётким критерием успеха, а защита про поиск неизвестного в потоке шума без гарантии, что сигнал вообще присутствует.
LLM, обученные на задачах с “правильным ответом”, в такой среде теряют устойчивость. Им не хватает ни механизмов самопроверки, ни способности поддерживать длительное расследование.
🔗 Ссылка на бенчмарк
Stay secure and read SecureTechTalks 📚
#кибербезопасность #LLM #SOC #ThreatHunting #AIsecurity #MITREATTACK #BlueTeam #CyberDefense #InfoSec #SecureTechTalks
👍1
🧨 MITRE ATT&CK описывает прошлое. PR3TACK пытается предсказать будущее
Обычно защита встраивается по уже известным атакам. Сначала злоумышленники находят новый способ компрометации, затем появляются отчёты. Далее техника попадает в MITRE ATT&CK, и только потом команды начинают писать правила детектирования.
Авторы нового open-source проекта PR3TACK (Preemptive Tactics & Countermeasures Knowledgebase) предлагают перевернуть эту модель. Вместо каталога уже наблюдавшихся TTP они собирают правдоподобные, но ещё не встречавшиеся в реальных атаках техники, чтобы защиту можно было готовить заранее.
⚙️ Охота за атаками, которых ещё не было
Каждая техника в PR3TACK получает уровень достоверности:
🔹 High
Существует рабочий Proof-of-Concept;
🔹 Medium
Техника технически обоснована, но ещё не подтверждена экспериментально;
🔹 Low
Идея основана на исследованиях или анализе возможных направлений развития атак.
При этом проект не ограничивается привычными Execution или Persistence. В матрицу добавлены совершенно новые классы угроз:
➖ Pre-Positioning
Долгосрочная подготовка к будущей атаке, например внедрение "спящих" изменений в open-source проекты;
➖ Resilience Erosion
Постепенное разрушение механизмов восстановления: резервных копий, процессов обновления и восстановления;
➖ Governance Subversion
Атаки через процессы закупок, доверенных поставщиков и внутренние политики;
➖ Cognitive Manipulation
Воздействие на аналитиков с помощью ложных журналов событий, перегрузки алертами и других техник;
➖ Digital Exhaust Manipulation
Подмена телеметрии, логов и threat intelligence для введения защитников в заблуждение.
🧠 Конструктор будущих угроз
Для каждой техники описываются предполагаемый сценарий эксплуатации, возможные защитные меры и идеи для детектирования ещё до появления первых инцидентов.
Авторы предлагают использовать PR3TACK как основу для purple team-упражнений, threat modeling и разработки новых правил обнаружения, а не ждать, пока техника появится в очередном отчёте.
🔗 Источник: https://www.first.org/blog/20260708-FIRSTCON26-PR3TACK
Stay secure and read SecureTechTalks 📚
#кибербезопасность #ThreatIntelligence #MITREATTACK #PR3TACK #BlueTeam #PurpleTeam #ThreatModeling #CyberSecurity #DetectionEngineering #SecureTechTalks
Обычно защита встраивается по уже известным атакам. Сначала злоумышленники находят новый способ компрометации, затем появляются отчёты. Далее техника попадает в MITRE ATT&CK, и только потом команды начинают писать правила детектирования.
Авторы нового open-source проекта PR3TACK (Preemptive Tactics & Countermeasures Knowledgebase) предлагают перевернуть эту модель. Вместо каталога уже наблюдавшихся TTP они собирают правдоподобные, но ещё не встречавшиеся в реальных атаках техники, чтобы защиту можно было готовить заранее.
⚙️ Охота за атаками, которых ещё не было
Каждая техника в PR3TACK получает уровень достоверности:
🔹 High
Существует рабочий Proof-of-Concept;
🔹 Medium
Техника технически обоснована, но ещё не подтверждена экспериментально;
🔹 Low
Идея основана на исследованиях или анализе возможных направлений развития атак.
При этом проект не ограничивается привычными Execution или Persistence. В матрицу добавлены совершенно новые классы угроз:
➖ Pre-Positioning
Долгосрочная подготовка к будущей атаке, например внедрение "спящих" изменений в open-source проекты;
➖ Resilience Erosion
Постепенное разрушение механизмов восстановления: резервных копий, процессов обновления и восстановления;
➖ Governance Subversion
Атаки через процессы закупок, доверенных поставщиков и внутренние политики;
➖ Cognitive Manipulation
Воздействие на аналитиков с помощью ложных журналов событий, перегрузки алертами и других техник;
➖ Digital Exhaust Manipulation
Подмена телеметрии, логов и threat intelligence для введения защитников в заблуждение.
🧠 Конструктор будущих угроз
Для каждой техники описываются предполагаемый сценарий эксплуатации, возможные защитные меры и идеи для детектирования ещё до появления первых инцидентов.
Авторы предлагают использовать PR3TACK как основу для purple team-упражнений, threat modeling и разработки новых правил обнаружения, а не ждать, пока техника появится в очередном отчёте.
🔗 Источник: https://www.first.org/blog/20260708-FIRSTCON26-PR3TACK
Stay secure and read SecureTechTalks 📚
#кибербезопасность #ThreatIntelligence #MITREATTACK #PR3TACK #BlueTeam #PurpleTeam #ThreatModeling #CyberSecurity #DetectionEngineering #SecureTechTalks
❤1👍1
🧨 MITRE-SAGE: расследование киберинцидентов
LLM неплохо объясняет, что такое CVE или MITRE ATT&CK, но узкоспециализированных вопросов приходится одновременно искать факты, связывать сущности между собой и проверять несколько источников. Обычный RAG с набором текстовых чанков с этим справляется далеко не всегда.
⚙️ Команда вместо одного агента
Авторы MITRE-SAGE собрали многоагентную систему, где разные модели занимаются разными частями сбора информации.
🔹 Graph Agent ищет связи в графе на основе MITRE и NVD;
🔹 Text Agent извлекает информацию из документов;
🔹 Web Agent ищет свежие сведения в интернете;
🔹 отдельные агенты сокращают найденную информацию и отбрасывают нерелевантные данные;
🔹 Orchestrator решает, какие источники подключить, сравнивает результаты и формирует ответ.
Модель сначала разбивает вопрос на подзадачи, собирает доказательства из разных источников и только после этого отвечает.
🧠 Главное не количество агентов
Интересно, что авторы отдельно создали MITRE-QA, набор из 3000 вопросов по кибербезопасности.
В нём есть обычные вопросы о CVE и CWE, поиск сущностей, анализ связей, профилирование угроз и более сложные multi-hop задачи, где ответ приходится собирать из нескольких связанных фактов.
В результате MITRE-SAGE показал лучший результат в 5 из 8 задач, а на структурированном поиске знаний получил accuracy 89% против 31% у GPT-4.1.
На некоторых задачах преимущество доходило до 58%, а корректность генерируемых ответов улучшалась до 35,5% относительно наиболее сильного baseline.
🔥 Ресурсы
Система работает на относительно небольших open source моделях: оркестратор использует Qwen2.5-14B, остальные агенты работают на Qwen2.5-7B. Эксперимент запускался на одной NVIDIA A100 80 GB.
В данном подходе LLM становится скорее координатором, нежели энциклопедией, которая пытается всё вспомнить сама.
🔗 Исследование: arXiv 2608.16921
🔗 MITRE-QA: GitHub
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #RAG #MITREATTACK #ThreatIntelligence #SOC #AgenticAI #AISecurity #SecureTechTalks
LLM неплохо объясняет, что такое CVE или MITRE ATT&CK, но узкоспециализированных вопросов приходится одновременно искать факты, связывать сущности между собой и проверять несколько источников. Обычный RAG с набором текстовых чанков с этим справляется далеко не всегда.
⚙️ Команда вместо одного агента
Авторы MITRE-SAGE собрали многоагентную систему, где разные модели занимаются разными частями сбора информации.
🔹 Graph Agent ищет связи в графе на основе MITRE и NVD;
🔹 Text Agent извлекает информацию из документов;
🔹 Web Agent ищет свежие сведения в интернете;
🔹 отдельные агенты сокращают найденную информацию и отбрасывают нерелевантные данные;
🔹 Orchestrator решает, какие источники подключить, сравнивает результаты и формирует ответ.
Модель сначала разбивает вопрос на подзадачи, собирает доказательства из разных источников и только после этого отвечает.
🧠 Главное не количество агентов
Интересно, что авторы отдельно создали MITRE-QA, набор из 3000 вопросов по кибербезопасности.
В нём есть обычные вопросы о CVE и CWE, поиск сущностей, анализ связей, профилирование угроз и более сложные multi-hop задачи, где ответ приходится собирать из нескольких связанных фактов.
В результате MITRE-SAGE показал лучший результат в 5 из 8 задач, а на структурированном поиске знаний получил accuracy 89% против 31% у GPT-4.1.
На некоторых задачах преимущество доходило до 58%, а корректность генерируемых ответов улучшалась до 35,5% относительно наиболее сильного baseline.
🔥 Ресурсы
Система работает на относительно небольших open source моделях: оркестратор использует Qwen2.5-14B, остальные агенты работают на Qwen2.5-7B. Эксперимент запускался на одной NVIDIA A100 80 GB.
В данном подходе LLM становится скорее координатором, нежели энциклопедией, которая пытается всё вспомнить сама.
🔗 Исследование: arXiv 2608.16921
🔗 MITRE-QA: GitHub
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AI #LLM #RAG #MITREATTACK #ThreatIntelligence #SOC #AgenticAI #AISecurity #SecureTechTalks
👍1