---
title: "Sluta räkna MITRE-tekniker. Börja stänga ytterdörren. | Guardian360"
description: "Angripare återanvänder en liten, stabil uppsättning tekniker, ändå säljer branschen \"100 % MITRE-täckning\". Varför det måttet lugnar mer än det skyddar, och var defensiv ansträngning faktiskt gör nytta."
url: https://guardian360.net/sv/blog/stop-counting-mitre-techniques-start-closing-the-front-door/
locale: en
source: guardian360.net
---
[← Alla inlägg](https://guardian360.net/sv/blog/)

Opinion

# Sluta räkna MITRE-tekniker. Börja stänga ytterdörren.

Av Jan Martijn Broekhof · 30 juni 2026

För några veckor sedan satt jag med på examenspresentationen av en HBO-student inom Software Development. Arbetet var bra, men det var en enskild punkt i hans presentation som stannade kvar hos mig efteråt. Han hade läst en studie från 2024 från NC State University, och han ställde en fråga till rummet som jag inte har kunnat släppa sedan dess: om angripare hela tiden griper efter samma lilla uppsättning tekniker, år efter år, varför insisterar hela vår bransch på att mäta något annat?

Det är en rimlig fråga, och ju mer jag satt med den, desto obekvämare blev den. För det ärliga svaret är att vi mäter fel sak, vi mäter den dåligt, och vi säljer resultatet som lugn.

## Arsenalen är mindre än marknadsföringen antyder

Studien i fråga, “Attackers reveal their arsenal” av Rahman, Basak, Mahdavi Hezaveh och Williams, gjorde något uppfriskande konkret. Forskarna tog 667 rapporter om cyberhotsunderrättelser som MITRE ATT&CK citerar, som täcker mer än tiotusen dokumenterade tekniker, och frågade vilka som faktiskt återkommer.

Svaret är nyktrande för alla som föreställer sig angripare som oändligt uppfinningsrika. De identifierade nitton förekommande tekniker som tillsammans står för över en tredjedel av allt som dokumenterats. Inte en enda av dessa förekommande tekniker var på en nedåtgående trend. Den populära bilden av motståndaren som en rastlös innovatör, som för evigt uppfinner nya metoder, överlever inte kontakt med bevisen. Angripare är vanemänniskor. De återanvänder det som fungerar, eftersom det som fungerar fortsätter att fungera.

Man skulle tro att detta vore goda nyheter för försvarare. En liten, stabil arsenal låter som ett problem man kan få grepp om. Och ändå har branschens svar varit att bygga ett helt marknadsföringsspråk kring att täcka allt.

## Så varför säljer varje leverantör dig “100 % MITRE-täckning”?

Detta är frågan en CISO faktiskt ställer, vanligtvis någonstans mellan den andra och tredje leverantörsdemonstrationen. Varje produkt hävdar heltäckande MITRE ATT&CK-täckning. Varje värmekarta lyser betryggande grönt. Och nästan inget av det betyder vad köparen tror att det betyder.

Oberoende analys antyder att traditionella system för säkerhetsinformation och händelsehantering i genomsnitt bara upptäcker omkring 21 procent av ATT&CK-teknikerna, och att många av de rubrikvärda täckningspåståendena speglar endpoint-centrerad testning snarare än de moln-, identitets- och SaaS-ytor där så många intrång nu utspelar sig. Siffran på bilden och skyddet i miljön är inte samma sak.

Täckning är lätt att sälja eftersom den är lätt att rita. En matris med de flesta cellerna ifyllda ser ut som kompetens. Att hindra en angripare från att någonsin ta sig in genom ytterdörren, däremot, är osynligt. Ingen fotograferar det intrång som inte hände. Så vi har hamnat i att belöna det mått som demonstrerar väl framför det utfall som faktiskt skyddar organisationen. Det är täckningsteater, och vi betalar alla för biljetter.

## Den grymmaste paradoxen: de vanligaste teknikerna är svårast att fånga

Här blir NC State-studien genuint obekväm. Forskarna noterar att de mest förekommande teknikerna ser ofarliga ut när de betraktas var för sig. Att samla in systeminformation, köra ett kommandoskal, överföra en fil: var och en av dessa är omöjlig att skilja från vanlig, legitim systemaktivitet. De blir en attack först när du ser dem i en sekvens, och då är aktören redan inne.

Detta är inte en teoretisk oro. I MITRE ATT&CK Evaluations 2025 fick ett av testscenarierna slopas eftersom utvärderarna inte tillförlitligt kunde skilja motståndarens legitimt utseende administrativa handlingar från äkta sådana, som Forrester rapporterade efteråt. Läs det igen. MITRE självt, som körde ett kontrollerat test med full kännedom om vad angriparen gjorde, kunde inte rent skilja skadligt från legitimt beteende för dessa tekniker.

Så de tekniker angripare använder mest är just de som motstår upptäckt mest. Täckningsvärmekartan lovar att fånga dem. Bevisen säger att till och med de som designade ramverket har svårt att göra det. Vi mäter inte bara fel sak; vi hävdar självförtroende om just den del av problemet som förtjänar det minst.

## Ett ärligt medgivande, också om min egen plattform

Vid det här laget kräver rättvisa att jag vänder linsen mot mig själv. Guardian360 utvecklar Lighthouse-plattformen, som gör kontinuerlig sårbarhetsskanning, efterlevnadsrekommendationer mot mer än fyrtio normer och lagar, säkerhetsinsikter om Microsoft 365 och intrångsdetektion. Om du tog de nitton förekommande teknikerna från studien och frågade hur många vår plattform förhindrar eller tillförlitligt upptäcker, är det ärliga svaret: väldigt få av dem direkt. Det mesta av den arsenalen är beteende efter exploatering på endpointen, och det är inte vad en sårbarhets- och efterlevnadsplattform är byggd för att bevaka.

Jag skulle kunna klä upp det. Det tänker jag inte göra. Och här är poängen som betyder något: ingen leverantör kan ärligt hävda att de täcker hela kedjan heller. De som visar dig en helt grön matris är inte mer kapabla än resten av oss. De är bara mindre uppriktiga om var deras produkt slutar. En köpare är långt mer betjänt av en leverantör som rakt säger vad den gör, vad den inte gör, och var någon annan behövs, än av en som har färglagt varje cell och hoppas att du inte ska ställa svåra frågor.

## Där spelet faktiskt vinns: ytterdörren

Om de förekommande teknikerna mestadels är saker angripare gör efter att de är inne, är den uppenbara frågan hur de tog sig in från början. Och på den punkten är datan ovanligt tydlig.

Enligt Verizon 2025 Data Breach Investigations Report har utnyttjande av sårbarheter rusat upp till andra plats bland de initiala åtkomstvektorerna, närvarande i 20 procent av intrången och upp 34 procent jämfört med föregående år. Stulna inloggningsuppgifter står för 22 procent, och nätfiske ligger på omkring 15 procent. De två eller tre sätt angripare faktiskt tar sig in på ligger alla i början av kedjan, inte begravda i de tekniker efter exploatering som fyller värmekartorna. Studien själv når samma slutsats från andra hållet, och pekar ut spear-phishing som den mest förekommande vägen till initial infektion.

Det är här defensiv ansträngning gör nytta. Patcha de saker som vetter mot internet, särskilt de edge-enheter och VPN:er som angripare nu träffar innan patchen ens har rullats ut. Stäng luckorna i inloggningsuppgifterna. Och vad gäller nätfiske, var ärlig om vad träning kan och inte kan göra. Samma Verizon-rapport fann att träning knappt rör klickfrekvensen, som envist stannar kring 1,5 procent, men att tränade anställda rapporterar misstänkt e-post ungefär fyra gånger oftare. Du kommer inte att träna människor till att bli oklickbara. Du kan förvandla dem till ett snabbt mänskligt sensornätverk. Det är ett annat och långt mer uppnåeligt mål.

Inget av detta kräver en vägg av gröna celler. Det kräver att man beslutar att hålla angripare ute är värt mer än att kunna beskriva, i efterhand och på MITRE:s vokabulär, exakt hur de rörde sig när de väl var inne.

## Frågan att ställa nästa gång

Jag hävdar inte att detektion inte spelar roll. Assume-breach-tänkande finns av goda skäl: förebyggande läcker, och en mogen organisation behöver se den inkräktare som ändå tar sig igenom. Men “assume breach” har tyst blivit en licens att underinvestera i att inte bli utsatt för intrång, och täckningsvärmekartan är rekvisitan som får det att kännas ansvarsfullt.

Så nästa gång en leverantör visar dig en MITRE-matris, fråga inte hur många tekniker de upptäcker. Fråga vilka de förhindrar, fråga vad de ärligt inte kan göra, och fråga var din ytterdörr fortfarande står öppen. Arsenalen är liten och förutsägbar. Vårt försvar bör börja där angriparen gör det.

## Källor

- Rahman, Basak, Mahdavi Hezaveh & Williams (NC State University, 2024), “Attackers reveal their arsenal: An investigation of adversarial techniques in CTI reports”. [https://arxiv.org/abs/2401.01865](https://arxiv.org/abs/2401.01865)
- Verizon 2025 Data Breach Investigations Report, för de initiala åtkomstvektorerna (utnyttjande av sårbarheter 20 %, stulna inloggningsuppgifter 22 %, nätfiske omkring 15 %) och siffrorna för rapportering efter träning.
- Forrester (2025), analys av MITRE ATT&CK Evaluations 2025, om scenariot som slopades eftersom legitima och skadliga administrativa handlingar inte kunde skiljas tillförlitligt.
- Mitiga, för den oberoende siffran att traditionella SIEM-system i genomsnitt upptäcker ungefär 21 % av ATT&CK-teknikerna, och kritiken av endpoint-centrerade “100 % täckning”-påståenden.
- MITRE ATT&CK Evaluations, för en neutral referens till vad utvärderingen är och inte är.