---
title: "Para de contar técnicas MITRE. Começa a fechar a porta da frente. | Guardian360"
description: "Os atacantes reutilizam um conjunto pequeno e estável de técnicas, mas a indústria vende \"100% de cobertura MITRE\". Porque é que essa métrica tranquiliza mais do que protege, e onde é que o esforço defensivo realmente compensa."
url: https://guardian360.net/pt/blog/stop-counting-mitre-techniques-start-closing-the-front-door/
locale: en
source: guardian360.net
---
[← Todos os artigos](https://guardian360.net/pt/blog/)

Opinião

# Para de contar técnicas MITRE. Começa a fechar a porta da frente.

Por Jan Martijn Broekhof · 30 de junho de 2026

Há algumas semanas assisti à apresentação de fim de curso de um estudante de Desenvolvimento de Software do ensino superior profissional. O trabalho era bom, mas foi um único ponto da sua apresentação que me ficou depois na cabeça. Ele tinha estado a ler um estudo de 2024 da NC State University e colocou à sala uma pergunta que não me consigo tirar da cabeça desde então: se os atacantes continuam a recorrer ao mesmo pequeno conjunto de técnicas, ano após ano, porque é que toda a nossa indústria insiste em medir outra coisa?

É uma pergunta justa e, quanto mais pensava nela, mais incómoda se tornava. Porque a resposta honesta é que medimos a coisa errada, medimo-la mal e vendemos o resultado como tranquilização.

## O arsenal é mais pequeno do que o marketing sugere

O estudo em questão, “Attackers reveal their arsenal”, de Rahman, Basak, Mahdavi Hezaveh e Williams, fez algo refrescantemente concreto. Os investigadores pegaram em 667 relatórios de cyber threat intelligence citados pelo MITRE ATT&CK, cobrindo mais de dez mil técnicas documentadas, e perguntaram quais é que de facto se repetem.

A resposta é preocupante para quem imagina os atacantes como infinitamente inventivos. Identificaram dezanove técnicas prevalentes que, em conjunto, representam mais de um terço de tudo o que está documentado. Nenhuma dessas técnicas prevalentes estava em tendência de declínio. A imagem popular do adversário como um inovador incansável, sempre a inventar métodos novos, não sobrevive ao confronto com as provas. Os atacantes são criaturas de hábitos. Reutilizam o que funciona, porque o que funciona continua a funcionar.

Seria de pensar que isto fosse uma boa notícia para os defensores. Um arsenal pequeno e estável parece um problema que se consegue abarcar. E, no entanto, a forma como a indústria respondeu foi construir toda uma linguagem de marketing em torno de cobrir tudo isso.

## Então porque é que todos os fornecedores te vendem “100% de cobertura MITRE”?

Esta é a pergunta que um CISO efetivamente faz, normalmente algures entre a segunda e a terceira demonstração de um fornecedor. Todos os produtos afirmam ter cobertura abrangente do MITRE ATT&CK. Todos os heatmaps brilham num verde tranquilizador. E quase nada disso significa o que o comprador pensa que significa.

Análises independentes sugerem que os sistemas tradicionais de gestão de informação e eventos de segurança detetam, em média, apenas cerca de 21 por cento das técnicas ATT&CK, e que muitas das grandes afirmações de cobertura refletem testes centrados no endpoint, e não nas superfícies de cloud, identidade e SaaS onde tantas violações acontecem hoje. O número no slide e a proteção no ambiente não são a mesma coisa.

A cobertura é fácil de vender porque é fácil de desenhar. Uma matriz com a maior parte das células preenchidas parece competência. Impedir que um atacante alguma vez passe a porta da frente, por outro lado, é invisível. Ninguém fotografa a violação que não aconteceu. Por isso acabámos por recompensar a métrica que fica bem numa demonstração em detrimento do resultado que efetivamente protege a organização. Isso é teatro de cobertura, e estamos todos a pagar bilhete.

## O paradoxo mais cruel: as técnicas mais comuns são as mais difíceis de apanhar

É aqui que o estudo da NC State se torna genuinamente incómodo. Os investigadores notam que as técnicas mais prevalentes parecem inofensivas quando vistas individualmente. Recolher informação do sistema, executar uma linha de comandos, transferir um ficheiro: cada uma destas é indistinguível de atividade de sistema comum e legítima. Só se tornam um ataque quando as vês em sequência, e nessa altura o ator já está lá dentro.

Isto não é uma preocupação teórica. Nas MITRE ATT&CK Evaluations de 2025, um dos cenários de teste teve de ser descartado porque os avaliadores não conseguiam separar de forma fiável as ações administrativas de aparência legítima do adversário das genuínas, como a Forrester relatou depois. Lê isto outra vez. O próprio MITRE, a realizar um teste controlado com pleno conhecimento do que o atacante estava a fazer, não conseguiu distinguir de forma limpa comportamento malicioso de legítimo para estas técnicas.

Por isso, as técnicas que os atacantes mais usam são precisamente as que mais resistem à deteção. O heatmap de cobertura promete apanhá-las. As provas dizem que até as pessoas que desenharam o framework têm dificuldade em fazê-lo. Não estamos apenas a medir a coisa errada; estamos a afirmar confiança exatamente sobre a parte do problema que menos a merece.

## Uma confissão honesta, incluindo sobre a minha própria plataforma

Chegados a este ponto, a justiça exige que vire a lente sobre mim próprio. A Guardian360 desenvolve o Lighthouse, que faz scanning contínuo de vulnerabilidades, recomendações de conformidade face a mais de quarenta normas e leis, insights de segurança do Microsoft 365 e deteção de intrusos. Se pegasses nas dezanove técnicas prevalentes do estudo e perguntasses quantas é que a nossa plataforma previne ou deteta de forma fiável, a resposta honesta é: muito poucas delas diretamente. A maior parte desse arsenal é comportamento de pós-exploração no endpoint, e não é isso que uma plataforma de vulnerabilidades e conformidade foi construída para observar.

Podia embelezar isto. Não o vou fazer. E aqui está o ponto que importa: nenhum fornecedor pode honestamente afirmar que cobre toda a cadeia. Os que te mostram uma matriz totalmente verde não são mais capazes do que os restantes. São apenas menos francos sobre onde é que o seu produto para. Um comprador é muito melhor servido por um fornecedor que diz claramente o que faz, o que não faz e onde é preciso mais alguém, do que por um que pintou todas as células e espera que não faças perguntas difíceis.

## Onde o jogo é realmente ganho: a porta da frente

Se as técnicas prevalentes são sobretudo coisas que os atacantes fazem depois de estarem lá dentro, a pergunta óbvia é como é que entraram, para começar. E sobre isso, os dados são invulgarmente claros.

De acordo com o Verizon 2025 Data Breach Investigations Report, a exploração de vulnerabilidades disparou para o segundo lugar entre os vetores de acesso inicial, presente em 20 por cento das violações e a subir 34 por cento face ao ano anterior. As credenciais roubadas representam 22 por cento, e o phishing situa-se em cerca de 15 por cento. As duas ou três formas pelas quais os atacantes efetivamente entram estão todas no início da cadeia, e não enterradas nas técnicas de pós-exploração que enchem os heatmaps. O próprio estudo chega à mesma conclusão pelo outro lado, apontando o spear-phishing como a via mais prevalente para a infeção inicial.

É aqui que o esforço defensivo compensa. Aplica patches às coisas viradas para a internet, especialmente os dispositivos de fronteira e as VPNs que os atacantes agora atingem antes de o patch ter sequer sido aplicado. Fecha as falhas de credenciais. E, sobre o phishing, sê honesto acerca do que a formação pode e não pode fazer. O mesmo relatório da Verizon concluiu que a formação quase não mexe na taxa de cliques, que se mantém teimosamente à volta de 1,5 por cento, mas que os colaboradores formados reportam correio suspeito cerca de quatro vezes mais frequentemente. Não vais conseguir treinar as pessoas para se tornarem imunes ao clique. Consegues transformá-las numa rede rápida de sensores humanos. Esse é um objetivo diferente e muito mais alcançável.

Nada disto exige um muro de células verdes. Exige decidir que manter os atacantes de fora vale mais do que conseguir descrever, em retrospetiva e no vocabulário do MITRE, exatamente como se moveram depois de já estarem dentro.

## A pergunta a fazer da próxima vez

Não estou a argumentar que a deteção não importa. O pensamento de “assumir a violação” existe por uma boa razão: a prevenção tem fugas, e uma organização madura precisa de ver o intruso que passa apesar de tudo. Mas “assumir a violação” tornou-se discretamente uma licença para subinvestir em não ser violado, e o heatmap de cobertura é o adereço que faz isso parecer responsável.

Por isso, da próxima vez que um fornecedor te mostrar uma matriz MITRE, não perguntes quantas técnicas detetam. Pergunta quais é que previnem, pergunta o que honestamente não conseguem fazer, e pergunta onde é que a tua porta da frente ainda está aberta. O arsenal é pequeno e previsível. As nossas defesas deviam começar onde o atacante começa.

## Fontes

- Rahman, Basak, Mahdavi Hezaveh & Williams (NC State University, 2024), “Attackers reveal their arsenal: An investigation of adversarial techniques in CTI reports”. [https://arxiv.org/abs/2401.01865](https://arxiv.org/abs/2401.01865)
- Verizon 2025 Data Breach Investigations Report, para os vetores de acesso inicial (exploração de vulnerabilidades 20%, credenciais roubadas 22%, phishing cerca de 15%) e os números de reporte após formação.
- Forrester (2025), análise das MITRE ATT&CK Evaluations 2025, sobre o cenário descartado porque as ações administrativas legítimas e maliciosas não puderam ser distinguidas de forma fiável.
- Mitiga, para o número independente de que os sistemas SIEM tradicionais detetam em média cerca de 21% das técnicas ATT&CK, e a crítica às afirmações de “100% de cobertura” centradas no endpoint.
- MITRE ATT&CK Evaluations, para uma referência neutra sobre o que a avaliação é e não é.