Многие организации заявляют о покрытии техник MITRE ATT&CK, основываясь на простом наличии правила или собранных данных. Однако истинное покрытие требует настроенного оповещения, которое генерирует действенные выводы для аналитиков. Отсутствие работающего оповещения, даже при наличии данных, означает, что обнаружение зависит исключительно от проактивного поиска. Существует значительный пробел, когда организации сообщают о наличии данных, но не имеют эффективного механизма обнаружения.Действительные учетные записи (T1078) часто используются с легитимными учетными данными, что требует поведенческих базовых показателей, выходящих за рамки простого успешного входа. Обнаружение уклонения от защиты, такого как отключение инструментов безопасности или журналирования, представляет собой еще одну распространенную и серьезную уязвимость. События создания новых учетных записей (T1136), хотя и часто регистрируются, часто не имеют надлежащего оповещения о подозрительной активности за пределами стандартных административных процессов.Достижение подлинного покрытия требует честности в отношении возможностей обнаружения. Истинное покрытие подразумевает наличие данных, работающее и настроенное правило обнаружения, видимость для аналитиков и определенный план реагирования. Без этих элементов тепловые карты ATT&CK представляют собой вводящее в заблуждение визуальное представление состояния безопасности. Остается вопрос, какие техники часто ошибочно маркируются как покрытые другими.