MITRE ATT&CK คืออะไร? — Framework ที่ SOC Analyst ต้องรู้
MITRE ATT&CK คืออะไร และ SOC Analyst เอาไปใช้ทำอะไร Tactics กับ Techniques ต่างกันยังไง แล้วเชื่อมกับ SIEM ได้อย่างไร อธิบายด้วยภาพเปรียบเทียบที่เข้าใจง่าย
MITRE ATT&CK คืออะไร? — Framework ที่ SOC Analyst ต้องรู้
ถ้าคุณเคยอ่านรายงานภัยคุกคามทางไซเบอร์ คุณน่าจะเจอคำว่า MITRE ATT&CK อยู่บ่อยๆ แต่มันคืออะไรกันแน่? ทำไม SOC Analyst ทุกคนต้องรู้จัก? แล้วมันเกี่ยวอะไรกับระบบ SIEM?
มาคุยกันแบบเข้าใจง่ายๆ เลย
MITRE ATT&CK คืออะไร? (อธิบายแบบบ้านๆ)
ลองนึกภาพว่าคุณเป็น นักสืบ — แฮกเกอร์คือโจรที่บุกเข้าบ้าน MITRE ATT&CK ก็เหมือน "คู่มือวิธีที่โจรใช้บุกบ้าน" ที่รวบรวมไว้ทุกวิธี ตั้งแต่:
- วิธีปีนรั้วเข้ามา (Initial Access)
- วิธีซ่อนตัวไม่ให้เจ้าของบ้านเห็น (Stealth)
- วิธียกของออกไป (Exfiltration)
อย่างเป็นทางการ — MITRE ATT&CK ย่อมาจาก Adversarial Tactics, Techniques, and Common Knowledge เป็น Knowledge Base ที่รวบรวม เทคนิคการโจมตีทางไซเบอร์ ที่แฮกเกอร์ใช้จริง จัดทำโดย MITRE Corporation (องค์กรไม่แสวงหากำไรในสหรัฐฯ)
Tactics vs Techniques — ต่างกันยังไง?
นี่คือจุดที่คนมักสับสน ให้จำง่ายๆ:
- Tactic = "ทำไม" (เป้าหมาย) เช่น "ต้องการเข้าถึงระบบ"
- Technique = "ทำยังไง" (วิธีการ) เช่น "ใช้ Phishing Email"
MITRE ATT&CK มี 15 Tactics หลัก:
| # | Tactic | ภาษาไทย | ตัวอย่าง |
|---|
| 1 | Reconnaissance | สำรวจเป้าหมาย | สแกน Port, ค้นหาข้อมูลบน LinkedIn |
| 2 | Resource Development | เตรียมเครื่องมือ | ซื้อ Domain, สร้าง Phishing Kit |
| 3 | Initial Access | เข้าถึงครั้งแรก | Phishing, Exploit vulnerability |
| 4 | Execution | รัน Code | PowerShell, Macro, Script |
| 5 | Persistence | ฝังตัว | สร้าง Service, Scheduled Task |
| 6 | Privilege Escalation | ยกระดับสิทธิ์ | Exploit kernel, Token Manipulation |
| 7 | Stealth | หลบการตรวจจับระหว่างปฏิบัติการ | Obfuscation, Process Injection, ลบ Indicator |
| 8 | Defense Impairment | ปิดหรือลดประสิทธิภาพระบบป้องกัน | ปิด Antivirus/EDR, แก้ไข Security Infrastructure |
| 9 | Credential Access | ขโมย Password | Brute Force, Kerberoasting |
| 10 | Discovery | สำรวจภายใน | ดู Network Share, หา Domain Admin |
| 11 | Lateral Movement | ย้ายไปเครื่องอื่น | RDP, PsExec, WMI |
| 12 | Collection | รวบรวมข้อมูล | Screenshot, Keylogger |
| 13 | Command & Control | ติดต่อแฮกเกอร์ | DNS Tunneling, HTTPS C2 |
| 14 | Exfiltration | ส่งข้อมูลออก | Upload ไป Cloud, FTP |
| 15 | Impact | สร้างความเสียหาย | Ransomware, Wiper |
MITRE ATT&CK ใช้งานจริงยังไง?
สำหรับ SOC Analyst
- ดู Alert ใน SIEM → จัด Mapping ว่าเป็น Technique ไหน
- เรียงลำดับ Alert ตาม Kill Chain เพื่อเห็นภาพรวมการโจมตี
- ใช้เป็น Reference เวลาเขียน Incident Report
สำหรับทีม Security
- ประเมินว่าองค์กร ตรวจจับได้กี่ Technique จาก 220+ Techniques
- หา Gap ที่ยังตรวจจับไม่ได้ แล้วสร้าง Detection Rule เพิ่ม
- ใช้เป็น Benchmark เทียบกับองค์กรอื่น
สำหรับผู้บริหาร
- เข้าใจว่าแฮกเกอร์ โจมตีอย่างไร แบบ High-level
- ดูว่าองค์กร ป้องกันได้กี่เปอร์เซ็นต์ ของ Techniques ที่รู้จัก
- ตัดสินใจลงทุนด้าน Security ได้ตรงจุด
MITRE ATT&CK กับ SIEM
SIEM ที่ดีจะ Map Alert เข้ากับ MITRE ATT&CK โดยอัตโนมัติ — ทำให้ SOC Analyst เห็นภาพรวมว่าแฮกเกอร์ อยู่ในขั้นตอนไหนของ Kill Chain และจัดลำดับความสำคัญได้ถูกต้อง
ตัวอย่าง:
Alert: Multiple Failed Login (T1110 - Brute Force)
→ Tactic: Credential Access
→ Risk: HIGH
→ Next likely move: Lateral Movement (T1021)
→ Recommendation: Reset password + enable MFA
⭐ zcrLog + MITRE ATT&CK
zcrLog เชื่อมกับ MITRE ATT&CK ได้จริง:
- ✅ Auto-Mapping — Alert ทุกตัวจัดหมวดเข้า Technique อัตโนมัติ
- ✅ Technique Cards — เห็นภาพรวม Technique ที่ตรวจพบ พร้อมจำนวน Event ต่อ Technique
- ✅ Attack Map — แสดงเส้นทางการโจมตีแบบ Visual
🎯 ดูรายละเอียด zcrLog →
📞 ปรึกษาฟรี
แหล่งที่มา
- MITRE ATT&CK — Enterprise Matrix MITRE Corporation เข้าถึงเมื่อ 2026-09-15 — ยืนยันรายการ Tactic ปัจจุบัน รวมถึงการแยก Defense Evasion เป็น Stealth และ Defense Impairment ในเวอร์ชัน v19 (เมษายน 2026)
- MITRE ATT&CK v19 release notes MITRE Corporation เข้าถึงเมื่อ 2026-09-15 — แหล่งที่มาของจำนวน 15 Tactics, 222 Techniques ปัจจุบัน และการแยก Defense Evasion
บทความที่เกี่ยวข้อง
อ่านต่อเพื่อเปรียบเทียบแนวทางและลงรายละเอียดที่เกี่ยวข้อง:
ผลิตภัณฑ์ที่เกี่ยวข้อง
ดูขอบเขตและสิ่งที่ต้องเตรียมก่อนคุยกับพาร์ทเนอร์ได้ที่ zcrSIEM และดูราคาที่เผยแพร่ได้ที่หน้าราคา