MITRE ATT&CK Nedir? Taktikler, Teknikler ve Kullanımı

MITRE ATT&CK nedir sorusunun kısa cevabı şu: saldırganların gerçek olaylarda ne yaptığını ortak bir dille anlatan, herkese açık bir davranış kataloğu. "Saldırgan ne istiyor?" sorusunun cevabı taktiktir, "bunu nasıl yapıyor?" sorusunun cevabı tekniktir. Bu yazıda Kasım 2026 itibarıyla güncel sürüm olan v20'deki 15 taktiği, teknik kimliklerinin nasıl okunduğunu ve bir bulguyu ATT&CK'e nasıl eşleyeceğini göreceksin.

MITRE ATT&CK nedir, ne işe yarar?

ATT&CK bir yazılım ya da güvenlik ürünü değil, bir bilgi tabanıdır. Adı Adversarial Tactics, Techniques, and Common Knowledge ifadesinden gelir. Kâr amacı gütmeyen MITRE kuruluşu ATT&CK'i 2013'te başlattı. Çıkış noktası FMX adlı bir araştırma projesiydi. Bu proje, ağa sızmış bir saldırganı uç nokta kayıtlarıyla nasıl yakalayacağını inceliyordu.

Neden ortak bir dile ihtiyaç var? Aynı davranışı bir analist "arka kapı", öteki "zamanlanmış betik" diye yazar. İki rapor aynı olayı anlatır ama karşılaştırılamaz. Teknik kimliğini yazdığın anda tartışma kelimeden çıkar, bulguya iner.

ATT&CK üç ayrı alanda yayımlanır. Kasım 2026 itibarıyla v20'deki sayılar şöyle:

MITRE yılda iki sürüm yayımlar. 2026'da v19 nisanda, v20 ekimde çıktı. Bu yazı kurumsal ağları ve bulutu kapsayan Enterprise matrisini anlatır.

Kim kullanır? SOC analisti alarmı tekniğe bağlar, tehdit istihbaratı ekibi bir grubun yöntemlerini raporlar, kırmızı takım tatbikatı tekniklere göre planlar, tespit mühendisi de kurallarının neyi yakaladığını ölçer.

Taktik, teknik ve prosedür (TTP) arasındaki fark nedir?

Taktik saldırganın amacını, teknik o amaca nasıl ulaştığını, prosedür ise belirli bir saldırganın o tekniği sahada nasıl uyguladığını anlatır. MITRE taktiği tekniğin "neden"i, tekniği de "nasıl"ı olarak tanımlar. Alt teknik, tekniğin daha özel bir biçimidir.

Oltalama üzerinden bak:

• Taktik: İlk erişim. Saldırgan ağa girmek istiyor.
• Teknik: Oltalama (Phishing).
• Alt teknik: Hedefli oltalama eki. Zararlı dosya e-postaya eklenmiş.
• Prosedür: "Grup, muhasebe birimine fatura görünümlü ekli e-posta gönderdi." Bu cümle yalnız biçimi göstermek için yazıldı. Gerçek örnekler teknik sayfasında kaynaklarıyla listelenir.

Her nesnenin harfle başlayan sabit bir kimliği vardır:

Bunu tarayıcıda dene: Bulguyu ATT&CK'e Bağlamak görevinde kapanmış bir av vakasının notlarını okursun. Her bulgu için davranışı anlatan kelimeyi referans tablosunda arar, doğru teknik kodunu bulur ve av raporunu bu eşlemelerle oluşturursun. Görev tarayıcıda açılan bir terminalde çalışır, kurulum gerekmez. Misafir olarak komut yazabilirsin. Flag'i göndermek için ücretsiz hesapla giriş yaparsın.

MITRE ATT&CK taktikleri nelerdir?

Kasım 2026 itibarıyla Enterprise matrisinde 15 taktik var. Tablo her taktiğin yanıtladığı soruyu ve bir örnek tekniği gösterir. Kimlikler yalnız örnektir, her taktiğin altında çok sayıda teknik bulunur.

Tablodaki en yeni değişiklik iki satırdır. Nisan 2026'daki v19 sürümü eski Savunmadan Kaçınma (Defense Evasion) taktiğini ikiye böldü. TA0005 kimliği Gizlenme adıyla kaldı. Güvenlik aracını kapatmak gibi doğrudan savunmaya dokunan teknikler yeni TA0112 altına taşındı. v18'e kadar Enterprise matrisinde 14 taktik vardı. Daha az taktik sayan bir kaynak eski bir sürümü ya da eksik bir listeyi anlatır.

Sıra kabaca bir saldırının akışını izler ama zorunlu değildir. MITRE'ye göre taktikler sırasızdır ve bir saldırıda hepsi görülmeyebilir. Bir teknik birden çok taktiğe de hizmet edebilir. Zamanlanmış görev ve iş (T1053) hem yürütme hem kalıcılık hem de yetki yükseltme altında durur. Eşleme yaparken komutun adına değil, saldırganın o adımdaki niyetine bakarsın.

ATT&CK matrisi nasıl okunur?

Matriste her sütun bir taktiktir, sütundaki her hücre de o taktiğe hizmet eden bir tekniktir. Bir teknik sayfasında şu bölümleri bulursun:

1. Açıklama ve platformlar: Davranışın ne olduğu ve hangi sistemlerde görüldüğü.
2. Alt teknikler: Tekniğin özel biçimleri.
3. Prosedür örnekleri: Hangi grup ya da yazılımın bu tekniği nasıl kullandığı, kaynaklarıyla.
4. Azaltımlar: Tekniği zorlaştıran yapılandırma ve önlemler.
5. Tespit stratejisi: Tekniği hangi kayıtlarla ve nasıl yakalayabileceğin.
6. Kaynaklar: Bilginin dayandığı raporlar.

ATT&CK Navigator matrisi tarayıcıda renklendirip not eklemene yarar. Bu görünümlere katman (layer) denir. Bir katman bir grubun kullandığı teknikleri ya da senin kurallarının kapsadığı teknikleri gösterebilir.

Bir eşlemeyi kaydederken sürümü de yaz: "T1566.001, ATT&CK v20". Matris değiştiğinde sürümsüz bir eşleme sessizce eskir. Örneğin eski bir kuraldaki "TA0005" bugün Gizlenme anlamına gelir. Tekniğin bugün hangi taktikte durduğunu teknik sayfasından kontrol et.

SOC'ta MITRE ATT&CK nasıl kullanılır?

SOC'ta ATT&CK üç iş görür: olayı ortak dille raporlamak, kuralların neyi kapsadığını görmek ve neye önce bakılacağını seçmek. Kurgu bir fidye vakasının adımları şöyle eşlenir:

Bir bulguyu eşlerken şu sırayı izle:

1. Bulguyu davranış olarak yaz. Araç adını değil, ne olduğunu yaz: "belge programı bir betik yorumlayıcısı başlattı".
2. Niyeti sor. Saldırgan bu adımla ne istiyordu? Cevap taktiği verir.
3. Yöntemi doğrula. Aday tekniğin sayfasını aç ve açıklamanın bulgunla örtüştüğünü kontrol et. Alt teknik varsa onu seç.
4. Sürümle kaydet. Kimliğin yanına ATT&CK sürümünü ekle.
5. Kapsamayı ölç. Her teknik için çalışan bir tespit kuralın var mı? Navigator'da işaretle. Boş kalan hücreler hem kural hem av listesidir.
6. Önceliği tehditten al. Önce sektörünü hedefleyen grupların kullandığı tekniklerle başla. Bu bilgi tehdit istihbaratından gelir.

Kurallar çoğu zaman bir SIEM'de yaşar. Hangi kaydın nereye aktığını SIEM nedir yazısında görebilirsin. Boş bir hücreyi "burada saldırgan olabilir mi?" sorusuna çevirmek ise tehdit avının işidir.

Kapsama boşluğunu kendin bulmak için Zincirdeki Kör Nokta görevini aç. Tatbikatta ATT&CK kimlikleriyle etiketlenmiş bir saldırı zincirini kural envanteriyle karşılaştırır, kuralı olmayan adımı bulur, eksik kuralı ekler ve kapsamayı yeniden ölçersin. Alarm kuyruğunda karar vermeyi denemek istersen SOC Vardiya tarayıcıda çalışan ücretsiz bir SOC simülasyonudur. Alarm listesinden vaka seçer, kural, ağ ve cihaz kanıtlarını inceler, gerekçeli karar verirsin. Vaka kartında ilgili ATT&CK tekniği de yazar. Konuyu derinleştirmek için MITRE ATT&CK ile avlanmak dersine geç.

MITRE ATT&CK ile Cyber Kill Chain farkı nedir?

Cyber Kill Chain bir saldırıyı yedi sıralı aşamayla üstten anlatır. ATT&CK ise saldırganın her adımda ne yaptığını teknik düzeyinde listeler. MITRE ikisini birbirini tamamlayan modeller olarak görür.

İkisini birlikte kullanabilirsin. Kill Chain'in kurulum aşaması kabaca ATT&CK'teki kalıcılık taktiğine, hedefe yönelik eylemler aşaması da toplama, sızdırma ve etki taktiklerine karşılık gelir. Kırmızı takımın tatbikatı ATT&CK tekniklerine göre nasıl planladığını mavi takım ve kırmızı takım farkı yazısında okuyabilirsin.

ATT&CK v20'de yapay zekâ teknikleri neler?

13 Ekim 2026'da yayımlanan v20, Enterprise matrisine yapay zekâ sistemlerini hedefleyen ya da yapay zekâdan yararlanan teknikler ekledi. En dikkat çekenleri Yürütme taktiğinde duran iki tekniktir:

• Doğrudan prompt injection (T1699): Saldırgan zararlı komutu doğrudan bir dil modelinin arayüzüne yazar.
• Dolaylı prompt injection (T1698): Zararlı komut bir web sayfasına, belgeye, e-postaya, destek kaydına ya da koda gizlenir. Yapay zekâ asistanı bu içeriği işlediğinde komut devreye girer.

Aynı sürümde yapay zekâ destekli veri sızdırma (T1700) tekniği de var. Yapay zekâ sonucunu zehirleme (T1608.007) ve otonom savunmaları bozma (T1685.007) ise alt teknik olarak eklendi. Böylece bir yapay zekâ asistanına yapılan saldırı da diğer olaylar gibi teknik kimliğiyle raporlanabilir. Konunun temelini prompt injection nedir yazısında bulabilirsin. Yapay zekâ sistemlerine yönelik saldırılar için MITRE ayrıca ATLAS adlı ayrı bir bilgi tabanı yayımlar.

MITRE ATT&CK neyi yapmaz?

ATT&CK güçlü bir harita ama dört sınırı var:

• Kontrol listesi değildir. Her hücreyi doldurmak hedef değildir. Ortamında olmayan bir platformun teknikleri seni ilgilendirmez.
• Kapsama, koruma demek değildir. Navigator'da yeşile boyanmış bir hücre kuralın çalıştığını kanıtlamaz. Kuralı örnek kayıtlarla ya da bir tatbikatla sınarsın.
• Her saldırıyı içermez. Katalog gözlenmiş ve raporlanmış davranışlardan derlenir. Yeni bir yöntem kataloğa sonradan girer.
• Ürün onayı değildir. MITRE, ATT&CK adını bir ürünü kendisi onaylamış gibi gösterecek biçimde kullanmayı yasaklar. Bir ürünün tespitlerini tekniklere bağlaması, seni o tekniklere karşı koruduğunu tek başına kanıtlamaz.

Kaynaklar

• MITRE ATT&CK: Enterprise taktikleri
• MITRE ATT&CK: Ekim 2026 güncellemesi (v20) ve nesne sayıları
• MITRE ATT&CK: Sık sorulan sorular
• MITRE ATT&CK Navigator: GitHub deposu
• Lockheed Martin: Gaining the Advantage, Cyber Kill Chain rehberi