MITRE ATT&CK in der Praxis: Wie du Techniken in SIEM-Rules übersetzt

Einleitung

MITRE ATT&CK ist das Standard-Vokabular der Detection-Welt. In Threat-Intel-Reports, Vendor-Marketing und Compliance-Dokumenten wirst du an der Matrix nicht vorbeikommen. Die Hürde für KMU ist nicht das Verständnis der Matrix – sondern der Schritt von „T1059.001 PowerShell“ zu einer konkreten SIEM-Rule, die im eigenen Netz feuert. Dieser Artikel führt dich durch genau diesen Schritt: von der Technik-Beschreibung zur lauffähigen Detection.

Warum das Thema wichtig ist

Ohne ein gemeinsames Vokabular reden Detection-Engineers, IR-Teams und Threat-Intel-Quellen aneinander vorbei. ATT&CK liefert dieses Vokabular. Wer seine Detections nicht entlang ATT&CK strukturiert, baut zufällige Rules ohne messbare Coverage. Wer es tut, kann Lücken sichtbar machen (welche Techniken erkenne ich nicht?) und Threat-Intel direkt umsetzen („In aktuellen Kampagnen wird T1003.006 beobachtet“ → konkreter Detection-Auftrag). Für KMU ist ATT&CK der schnellste Weg zu einer Detection-Strategie, die nicht nach Bauchgefühl entsteht.

Die ATT&CK-Hierarchie

Tactic (das WARUM)
   └── Technique (das WIE, allgemein)
            └── Sub-Technique (das WIE, spezifisch)
                       └── Procedures (konkrete Implementierungen)

Beispiel:

Credential Access (TA0006)
   └── OS Credential Dumping (T1003)
            ├── LSASS Memory (T1003.001)         ← typisches Mimikatz/ProcDump
            ├── Security Account Manager (T1003.002)
            ├── NTDS (T1003.003)                 ← DC-Datenbank-Diebstahl
            └── DCSync (T1003.006)               ← AD-Replication-Angriff

Detection-Engineering setzt typischerweise auf Sub-Technique-Ebene an – allgemein genug, um nicht IOC-spezifisch zu sein, spezifisch genug, um konkret detektierbar zu sein.

Der Workflow: Von Technik zu Rule in 5 Schritten

Schritt 1: Technik wählen

Sinnvolle Quellen für „welche Technik priorisiere ich?“:

• DFIR Report (thedfirreport.com) – Real-World-Intrusion-Reports mit ATT&CK-Mapping
• MITRE Top Techniques – jährliche Auswertung, welche Techniken am häufigsten beobachtet werden
• Eigene Branche – BSI / CISA Sector Advisories nennen oft konkrete TTPs
• Red-Team-/Pentest-Reports – wenn ihr extern testen lasst

Beispiel: Wir wählen T1003.001 – LSASS Memory Dumping.

Schritt 2: Procedures studieren

Auf attack.mitre.org/techniques/T1003/001/ findest du:

• Konkrete Procedure-Examples (welche Tools werden eingesetzt)
• Mitigations
• Detection – Vorschläge, welche Datenquellen relevant sind

Für T1003.001 typische Procedures:

• mimikatz sekurlsa::logonpasswords
• procdump -ma lsass.exe
• comsvcs.dll MiniDump (eingebauter LotL-Trick)
• nanodump
• Diverse C2-Frameworks (Cobalt Strike mimikatz-BOF)

Schritt 3: Datenquelle bestimmen

Welche Telemetrie kann das überhaupt detektieren?

Sysmon Event 10 ist der pragmatische Sweet Spot für KMU.

Schritt 4: Rule schreiben (SIGMA)

title: LSASS Memory Access (T1003.001)
id: 8a3b2f1c-4e5d-6a7b-8c9d-0e1f2a3b4c5d
status: experimental
description: Detects suspicious access to LSASS memory, indicative of credential dumping
references:
  - https://attack.mitre.org/techniques/T1003/001/
tags:
  - attack.credential_access
  - attack.t1003.001
logsource:
  product: windows
  service: sysmon
detection:
  selection:
    EventID: 10
    TargetImage|endswith: '\lsass.exe'
    GrantedAccess|contains:
      - '0x1010'    # PROCESS_VM_READ + PROCESS_QUERY_INFORMATION
      - '0x1410'
      - '0x1438'
      - '0x143a'
      - '0x1fffff'  # PROCESS_ALL_ACCESS
  filter_legitimate:
    SourceImage|endswith:
      - '\MsMpEng.exe'           # Defender
      - '\svchost.exe'
      - '\WmiPrvSE.exe'
      - '\csrss.exe'
      - '\wininit.exe'
  condition: selection and not filter_legitimate
falsepositives:
  - Legitime Security-Tools (EDR-Agents, Backup-Software)
level: critical

Schritt 5: Testen mit Atomic Red Team

atomicredteam.io bietet ausführbare Tests pro Technik. Für T1003.001:

Invoke-AtomicTest T1003.001
# führt z.B. comsvcs.dll-MiniDump-Variante aus

Wenn die Rule danach feuert → Coverage bestätigt. Wenn nicht → Tuning. Atomic Red Team ist Pflicht-Werkzeug für jeden, der ATT&CK-Coverage ernst nimmt.

Coverage messen mit dem ATT&CK Navigator

Der ATT&CK Navigator (mitre-attack.github.io/attack-navigator/) ist ein kostenloses Web-Tool, mit dem du dir deine Coverage als Heatmap visualisieren kannst:

1. Neues Layer erstellen (Enterprise Matrix)
2. Pro Technik einen Score setzen (z. B. 0=keine Detection, 1=audit-only, 2=alerting, 3=high-confidence)
3. Layer als JSON exportieren – ins Repo committen
4. Quartalsweise vergleichen: wo wurde Coverage erweitert?

Praxisempfehlung: Du brauchst nicht die ganze Matrix abdecken. Fokus auf die Top 20 Techniken aus DFIR-Reports + Branchenspezifika. Das ist machbar in 3 Monaten, das gibt dir mehr Mehrwert als eine 80%-Coverage auf akademischer Liste.

Die Top-10-Techniken-Starter-Liste für KMU

Wer mit ATT&CK anfängt, sollte diese 10 Techniken priorisieren – sie tauchen in 80 %+ aller dokumentierten Vorfälle auf:

Für jede dieser Techniken gibt es fertige SIGMA-Rules im SigmaHQ-Repo (github.com/SigmaHQ/sigma). Klonen, anpassen, deployen.

Praktisches Beispiel: T1053.005 (Scheduled Task) end-to-end

Threat-Modell

Ein Angreifer braucht Persistence. Er nutzt schtasks.exe, weil es signiert, eingebaut und unauffällig ist.

Datenquelle

schtasks.exe-Aufrufe sieht man in Sysmon Event 1 (Process Creation). Alternativ: Windows Event 4698 (Scheduled Task Created) – aber das wird oft nicht standardmäßig geloggt.

SIGMA-Rule

title: Scheduled Task Created via schtasks.exe
id: a1b2c3d4-e5f6-7890-abcd-ef0123456789
status: experimental
tags:
  - attack.persistence
  - attack.t1053.005
logsource:
  product: windows
  category: process_creation
detection:
  selection:
    Image|endswith: '\schtasks.exe'
    CommandLine|contains:
      - '/Create'
      - '/sc onlogon'
      - '/sc onstart'
      - '/sc minute'
  filter:
    User|startswith: 'NT AUTHORITY\SYSTEM'
    ParentImage|endswith:
      - '\msiexec.exe'           # legitime Installer
  condition: selection and not filter
falsepositives:
  - Software-Installation
  - Admin-Skripte
level: high

Test mit Atomic Red Team

Invoke-AtomicTest T1053.005 -TestNumbers 1

Erstellt einen Test-Task. Wenn die Rule feuert → done.

Im Navigator markieren

T1053.005 → Score: 3 (alerting, getestet). Coverage-Map aktualisiert.

Stolperfallen aus der Praxis

• Eine Rule = eine Sub-Technique, nicht eine ganze Technique. T1003 als Ganzes ist zu unspezifisch.
• False Positives sind Teil der Akzeptanz – wer 0 FP will, baut keine TTP-Detection. Plan: 2–4 Wochen Audit-Mode pro Rule, dann Tuning.
• Coverage ≠ Effektivität. Eine angekreuzte Technik im Navigator nützt nichts, wenn die Rule nicht getestet wurde. Atomic Red Team verifiziert Realität.
• „MITRE-Coverage zu 90 %“ ist ein Vendor-Marketing-Versprechen und meist Theater. Realistische Coverage liegt bei 30–50 % der Techniken, gut umgesetzt.
• Vendor-Mappings: Nicht jeder „ATT&CK-Tag“ in einem SIEM-Tool ist sauber gemappt. Selbst nachprüfen.

Praxis-Checkliste

• ATT&CK Matrix (Enterprise) als gemeinsames Vokabular im Team etabliert
• Top-10-Techniken priorisiert, SIGMA-Rules pro Technik im SIEM
• Datenquellen pro Technik dokumentiert (welche Telemetrie braucht es?)
• ATT&CK Navigator Layer im Repo, quartalsweise aktualisiert
• Atomic Red Team installiert, Tests pro Rule durchgeführt
• DFIR-Report-Reading als Routine (Quelle für neue Prioritäten)
• SigmaHQ-Public-Repo als Inspirationsquelle, nicht 1:1 übernommen
• Audit-Mode-Phase pro neuer Rule, dann Tuning, dann Production
• Reporting an Stakeholder mit ATT&CK-Tags (nicht nur Rule-Namen)

Fazit

ATT&CK ist kein Allheilmittel, aber das beste Strukturierungs-Werkzeug, das wir haben. Wer Detection-Engineering ernsthaft betreiben will, baut sein Repo nicht aus zufälligen Rules, sondern aus ATT&CK-mapped Detections – getestet mit Atomic Red Team, visualisiert im Navigator. Die Eingangshürde für KMU ist niedriger als gedacht: Top-10-Techniken, fertige SIGMA-Rules, Sysmon als Telemetrie-Basis. In drei Monaten hast du eine Coverage, die jedem Audit standhält und vor allem: echte Angriffe detektiert.

Wenn du tiefer einsteigen willst: Im Newsletter zeige ich jeden Monat konkrete ATT&CK-Detections, Atomic-Tests und Coverage-Strategien. Trag dich ein.