MITRE ATT&CK คืออะไร — เข้าใจกรอบการโจมตีที่ Red Team ใช้จริง
เมื่อทีม Security พูดถึง “T1566 — Phishing” หรือ “T1059 — Command and Scripting Interpreter” พวกเขากำลังอ้างอิงถึง MITRE ATT&CK — ฐานความรู้ที่รวบรวมพฤติกรรมการโจมตีจริงจากทั่วโลก และกลายเป็น ภาษากลาง ที่ Red Team, Blue Team, SOC Analyst และ Threat Intelligence Analyst ใช้สื่อสารกัน
MITRE ATT&CK คืออะไร
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) คือฐานความรู้ (Knowledge Base) ที่รวบรวม เทคนิคการโจมตีจริงที่สังเกตพบในโลกไซเบอร์ พัฒนาและดูแลโดย MITRE Corporation ซึ่งเป็นองค์กรวิจัยไม่แสวงหากำไรของสหรัฐอเมริกา [1]
สิ่งที่ทำให้ ATT&CK แตกต่างจากกรอบอื่น:
- อิงจากพฤติกรรมจริง (Real-world Observed Behavior) ไม่ใช่ทฤษฎี
- อัปเดตอย่างต่อเนื่อง — เวอร์ชันล่าสุดคือ v18 (ตุลาคม 2025) [2]
- เปิดให้ใช้ฟรี — ทุกคนเข้าถึงได้ที่ https://attack.mitre.org
- มี Matrix หลายประเภท: Enterprise (Windows, macOS, Linux, Cloud, SaaS), Mobile (Android, iOS), ICS (ระบบควบคุมอุตสาหกรรม)
โครงสร้างของ ATT&CK Matrix
ATT&CK จัดโครงสร้างเป็น 3 ระดับ [1][2]:
1. Tactics — “ทำไม” (เป้าหมาย)
Tactic คือ เป้าหมายระดับสูงของผู้โจมตี ในแต่ละขั้นตอนของการโจมตี เปรียบเหมือน “คอลัมน์” ในตาราง ATT&CK
2. Techniques — “อย่างไร” (วิธีการ)
Technique คือ วิธีที่ผู้โจมตีใช้เพื่อบรรลุเป้าหมาย แต่ละ Tactic มีหลาย Techniques
3. Sub-techniques — รายละเอียดเจาะลึก
Sub-technique คือ วิธีเฉพาะเจาะจงมากขึ้น ภายใต้แต่ละ Technique เช่น Phishing (T1566) มี Sub-techniques:
- T1566.001 — Spearphishing Attachment
- T1566.002 — Spearphishing Link
- T1566.003 — Spearphishing via Service
14 Tactics ของ ATT&CK Enterprise Matrix
Enterprise Matrix ประกอบด้วย 14 Tactics เรียงตามลำดับ Attack Lifecycle [1]:
1. Reconnaissance (การลาดตระเวน)
การรวบรวมข้อมูลเกี่ยวกับเป้าหมายก่อนเริ่มโจมตี เช่น สแกนหา IP, ค้นหา Email ของพนักงาน, ตรวจสอบเทคโนโลยีที่ใช้
2. Resource Development (การเตรียมทรัพยากร)
การจัดเตรียมโครงสร้างพื้นฐานสำหรับการโจมตี เช่น ซื้อ Domain, เช่า Server, สร้าง Malware, ขโมย Certificate
3. Initial Access (การเข้าถึงเบื้องต้น)
การเจาะเข้าระบบเป้าหมายครั้งแรก เช่น Phishing, Exploit Public-Facing Application, Valid Accounts
4. Execution (การสั่งรันคำสั่ง)
การสั่งรัน Malicious Code บนระบบเป้าหมาย เช่น PowerShell, Command Line, Scripting, Scheduled Task
5. Persistence (การคงอยู่ในระบบ)
การสร้างช่องทางกลับเข้ามาในระบบได้แม้ระบบถูก Reboot หรือเปลี่ยน Password เช่น Registry Run Keys, Scheduled Task, Web Shell
6. Privilege Escalation (การยกระดับสิทธิ์)
การเพิ่มระดับสิทธิ์จาก User ธรรมดาเป็น Admin/Root เช่น Exploitation for Privilege Escalation, Access Token Manipulation
7. Defense Evasion (การหลบหลีกการตรวจจับ)
เทคนิคที่ผู้โจมตีใช้เพื่อหลีกเลี่ยงการถูกตรวจจับ เช่น Obfuscated Files, Indicator Removal, Masquerading
8. Credential Access (การเข้าถึงข้อมูลรับรองตัวตน)
การขโมย Username/Password เช่น Brute Force, Credential Dumping, Keylogging, Kerberoasting
9. Discovery (การสำรวจระบบ)
การสำรวจระบบและเครือข่ายภายใน เช่น Network Service Scanning, Account Discovery, System Information Discovery
10. Lateral Movement (การเคลื่อนย้ายภายในเครือข่าย)
การเคลื่อนย้ายจากเครื่องหนึ่งไปยังเครื่องอื่นในเครือข่าย เช่น Remote Services, Pass the Hash, Remote Desktop Protocol
11. Collection (การรวบรวมข้อมูล)
การรวบรวมข้อมูลที่ต้องการจากระบบเป้าหมาย เช่น Data from Local System, Screen Capture, Email Collection
12. Command and Control — C2 (การควบคุมจากระยะไกล)
การสร้างช่องทางสื่อสารกับระบบที่ถูกยึดครอง เช่น Web Protocols, DNS Tunneling, Encrypted Channel
13. Exfiltration (การนำข้อมูลออก)
การส่งข้อมูลที่ขโมยได้ออกจากเครือข่ายเป้าหมาย เช่น Exfiltration Over C2 Channel, Exfiltration Over Web Service
14. Impact (ผลกระทบ)
การสร้างผลกระทบต่อระบบ เช่น Data Encrypted for Impact (Ransomware), Data Destruction, Defacement
การใช้งาน MITRE ATT&CK ในทางปฏิบัติ
1. Red Team — Mapping การทดสอบเจาะระบบ
Red Team ใช้ ATT&CK เพื่อ:
- วางแผนการทดสอบ ให้ครอบคลุมทุก Tactic
- รายงานผล เป็นภาษาที่ Blue Team เข้าใจ เช่น “เราใช้ T1566.001 (Spearphishing Attachment) เป็น Initial Access แล้ว Escalate ด้วย T1068 (Exploitation for Privilege Escalation)”
- วัดความครอบคลุม ว่า Pentest ทดสอบกี่ Techniques จากทั้งหมด
2. SOC Detection Engineering — สร้าง Detection Rule
SOC ใช้ ATT&CK เพื่อ:
- สร้าง Detection Rule ใน SIEM ที่ Map กับ Techniques เฉพาะ
- วัด Detection Coverage ว่า SOC ตรวจจับได้กี่ Techniques
- จัดลำดับ ว่าควรสร้าง Rule สำหรับ Technique ไหนก่อน โดยดูจาก Threat Intelligence
จากรายงาน CrowdStrike ปี 2025 ระบุว่า Interactive Intrusions เพิ่มขึ้น 27% YoY และ 81% ของ Intrusions เป็นแบบ Malware-free ทำให้ Behavior-based Detection ตาม ATT&CK มีความสำคัญมากขึ้น [3]
3. Threat Intelligence — ติดตามกลุ่มผู้โจมตี
ATT&CK รวบรวมข้อมูลกลุ่มผู้โจมตี (Threat Groups) พร้อม Techniques ที่แต่ละกลุ่มใช้ ทำให้สามารถ:
- เปรียบเทียบ Techniques ของกลุ่มที่เป็นภัยคุกคามกับ Detection Coverage ขององค์กร
- จัดลำดับ การลงทุนด้าน Security ตามภัยคุกคามที่เกี่ยวข้อง
4. Pentest Reporting — รายงานที่มีมาตรฐาน
การรายงานผล Pentest โดยอ้างอิง ATT&CK Technique ID ช่วยให้:
- ผู้อ่านเข้าใจบริบทการโจมตี
- เปรียบเทียบ Pentest หลายรอบได้
- เชื่อมโยงกับ Detection Rule ที่ควรมี
กลุ่ม APT ที่สำคัญในภูมิภาค ASEAN
ภูมิภาค ASEAN เป็นเป้าหมายหลักของกลุ่ม APT (Advanced Persistent Threat) หลายกลุ่ม โดยเฉพาะที่มีรัฐให้การสนับสนุน (State-sponsored) [4][5]:
| กลุ่ม | ชื่อเรียกอื่น | เป้าหมายหลัก | เทคนิคที่โดดเด่น |
|---|---|---|---|
| APT32 | OceanLotus, SeaLotus | รัฐบาล, สื่อ, องค์กรในเวียดนาม ฟิลิปปินส์ ลาว กัมพูชา | Strategic Web Compromise, Custom Backdoor |
| APT40 | Leviathan, Gingham Typhoon | ภาคทหาร การเดินเรือ ในเอเชียตะวันออกเฉียงใต้ | Exploit Public-Facing App, Spearphishing |
| Billbug | Lotus Blossom | หน่วยงานรัฐในเอเชียตะวันออกเฉียงใต้ | Custom Loader, Infostealers |
| Rancor | — | รัฐบาลในภูมิภาค SEA | Politically-motivated Lures, Macro-based Malware |
| Mustang Panda | Earth Preta, RedDelta | องค์กรระหว่างประเทศในเอเชีย | PlugX, ShadowPad, DLL Side-loading |
CISA ร่วมกับหน่วยงานพันธมิตรออกคำเตือนเกี่ยวกับ APT40 โดยเฉพาะเมื่อเดือนกรกฎาคม 2024 เนื่องจากกลุ่มนี้โจมตีหน่วยงานรัฐบาลและกองทัพในภูมิภาคอย่างต่อเนื่อง [5]
MITRE D3FEND — กรอบฝั่งป้องกัน
ในขณะที่ ATT&CK บอกว่า ผู้โจมตีทำอะไร MITRE D3FEND (Detection, Denial, and Disruption Framework Empowering Network Defense) บอกว่า ผู้ป้องกันทำอะไรได้ [6]
D3FEND เป็น Knowledge Graph ที่ Map มาตรการป้องกันเข้ากับเทคนิคการโจมตีใน ATT&CK โดยมี 5 Tactics ฝั่งป้องกัน:
| D3FEND Tactic | คำอธิบาย | ตัวอย่าง Technique |
|---|---|---|
| Harden | เสริมความแข็งแกร่งของระบบ | Application Configuration Hardening, MFA |
| Detect | ตรวจจับพฤติกรรมผิดปกติ | Network Traffic Analysis, File Integrity Monitoring |
| Isolate | แยกระบบที่ถูกโจมตี | Network Isolation, Execution Isolation (Sandbox) |
| Deceive | หลอกล่อผู้โจมตี | Honeypot, Decoy Account |
| Evict | กำจัดผู้โจมตีออกจากระบบ | Credential Rotation, Process Termination |
ตัวอย่างการใช้งานร่วมกัน
| สถานการณ์ | ATT&CK Technique | D3FEND Countermeasure |
|---|---|---|
| ได้รับ Phishing Email | T1566 — Phishing | Message Analysis, Email Sandboxing, User Training |
| Ransomware เข้ารหัสไฟล์ | T1486 — Data Encrypted for Impact | File Integrity Monitoring, Backup & Recovery |
| ผู้โจมตีสร้าง C2 Channel | T1071.001 — Web Protocols | Network Traffic Analysis, TLS Inspection |
เริ่มต้นใช้ MITRE ATT&CK อย่างไร
- ศึกษา ATT&CK Navigator — เครื่องมือ Web สำหรับสร้าง Heatmap ของ Techniques ที่องค์กรตรวจจับได้
- Map Threat Intelligence — ระบุกลุ่ม APT ที่เกี่ยวข้องกับอุตสาหกรรมขององค์กร
- ประเมิน Detection Coverage — เปรียบเทียบ Detection Rule ที่มีกับ Techniques ของกลุ่มที่เกี่ยวข้อง
- ใช้ใน Pentest/Red Team — กำหนดขอบเขตการทดสอบตาม ATT&CK Tactics
- ทำ Tabletop Exercise — จำลองสถานการณ์โจมตีตาม ATT&CK Chain
บทสรุป
MITRE ATT&CK เป็นมากกว่า Framework — เป็น ภาษากลาง ที่ทำให้ทีม Security ทุกฝ่ายสื่อสารเรื่องภัยคุกคามด้วยภาษาเดียวกัน ไม่ว่าจะเป็น Red Team, Blue Team, SOC, หรือ Management
ITSL ใช้ MITRE ATT&CK เป็นแกนหลักในบริการ Red Team Assessment เพื่อจำลองการโจมตีที่ครอบคลุมทุก Tactic และรายงานผลตาม ATT&CK Framework รวมถึงบริการ Tabletop Exercise ที่ใช้สถานการณ์จาก APT Group จริง และหลักสูตร อบรม Network Penetration Testing ที่สอนการใช้ ATT&CK ในการทดสอบเจาะระบบ
แหล่งอ้างอิง
- MITRE Corporation, “MITRE ATT&CK®,” MITRE, 2025. https://attack.mitre.org/
- MITRE Corporation, “ATT&CK v18 Release Notes,” MITRE, October 2025. https://attack.mitre.org/resources/updates/
- CrowdStrike, “2025 Global Threat Report,” CrowdStrike, 2025. https://www.crowdstrike.com/global-threat-report/
- MITRE Corporation, “Groups,” MITRE ATT&CK, 2025. https://attack.mitre.org/groups/
- CISA et al., “People’s Republic of China (PRC) Ministry of State Security APT40 Tradecraft in Action,” CISA Advisory, July 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-190a
- MITRE Corporation, “D3FEND — A Knowledge Graph of Cybersecurity Countermeasures,” MITRE, 2025. https://d3fend.mitre.org/