Модели помогают описать путь атаки и какие контроли сработали/нет. В отчётах и purple team мапят техники ATT&CK для gap analysis SOC. Используют как язык, не как инструкцию преступления.
Разбор
- Detection coverage matrix.
- Полезно для red team целей.
- Не перегружайте junior заказчика матрицей.
- Связка с detection engineering backlog.
Итог
ATT&CK/kill chain структурируют рассказ о пути атаки и детектах.