MITRE ATT&CK é o vocabulário compartilhado entre atacante e defensor. Cada linha da matriz descreve um comportamento observado em campo — não teoria. Este artigo pega as 10 táticas mais relevantes para app web e adapta ao contexto brasileiro: quais técnicas são frequentes em campanhas contra empresas nacionais, por que, e como defender.

Por que adaptar

ATT&CK genérico assume grande empresa americana, com stack Windows-heavy e detecção madura. Realidade BR é diferente: stack Linux/PHP/Node dominante, mercado sem MDR na maioria dos casos, senhas fracas persistindo em bases legadas, atacante local com tempo. As técnicas mudam de peso.

Notação

Cada técnica abaixo cita o ID oficial do ATT&CK (Enterprise Matrix). A defesa recomendada é a que mais move a agulha para o custo do adversário.

1. Initial Access (TA0001)

Como o adversário entra.

• T1190 — Exploit Public-Facing Application. A porta de entrada #1 no Brasil. WordPress plugin, PHPMyAdmin exposto, Laravel debug ligado, painel admin em /admin sem MFA. Frequência alta em varreduras automatizadas de IPs brasileiros.

- Defesa: varredura externa contínua, remoção de painéis expostos, WAF regra virtual patching.

• T1566 — Phishing. Boletos e "atualização Serasa/Receita" são iscas nacionais. Alvo: credencial admin com acesso à VPN ou SaaS.

- Defesa: MFA sem exceção, DMARC/SPF/DKIM configurado, simulação trimestral.

• T1078 — Valid Accounts. Credenciais vazadas em breaches passados (Netshoes, Renner, C6). Reuso permite login imediato.

- Defesa: verificação contra HIBP no signup, MFA, rotação forçada em detecção.

2. Execution (TA0002)

• T1059 — Command and Scripting Interpreter. RCE via injection em endpoint desatualizado. Uploads maliciosos em painel admin de e-commerce.

- Defesa: sanitização com whitelist, open_basedir no PHP, sandbox em Node.

• T1203 — Exploitation for Client Execution. XSS levando à execução no navegador da vítima com sessão privilegiada.

- Defesa: CSP restritiva, HttpOnly, cookie SameSite, DAST contínuo.

3. Persistence (TA0003)

• T1505.003 — Web Shell. Shells em PHP e ASPX ainda são comuns. c99.php, wso.php, ou variantes ofuscadas em /uploads/.

- Defesa: monitorar diretórios de upload, execução impedida por config de servidor, integridade de arquivos com auditbeat.

• T1136 — Create Account. Adversário cria conta admin secundária dormente. Volta 3 meses depois.

- Defesa: review de acessos a cada 90 dias, alerta em criação de admin, MFA obrigatório para admin.

• T1098 — Account Manipulation. Adição de chave SSH ou app OAuth em conta comprometida.

- Defesa: monitoramento de mudanças em chaves e apps, notificação obrigatória ao usuário.

4. Privilege Escalation (TA0004)

• T1068 — Exploitation for Privilege Escalation. Deserialization em Laravel/Symfony, prototype pollution em Node.

- Defesa: dep scanning, patching de framework, WAF.

• T1548 — Abuse Elevation Control Mechanism. Broken function-level authorization (BOLA/BFLA) — endpoint admin acessível por role user.

- Defesa: teste de autorização em cada endpoint, RBAC declarativo, DAST autenticado.

5. Defense Evasion (TA0005)

• T1027 — Obfuscated Files or Information. Payload em base64 dentro de eval(), LDAP injection ofuscado.

- Defesa: WAF com decoders, detecção de anomalias no log.

• T1070 — Indicator Removal. Truncar log, apagar histórico de comando.

- Defesa: logs em append-only, sink externo (S3 versionado com Object Lock).

6. Credential Access (TA0006)

• T1110 — Brute Force. Ataque de credential stuffing usando listas do dark web brasileiro (base "Anta", "Lion" e outras).

- Defesa: rate limit por IP e por conta, CAPTCHA adaptativo, bloqueio de listas conhecidas.

• T1552 — Unsecured Credentials. .env em repo público, chave AWS em asset JS.

- Defesa: secret scanning no CI, pré-commit hooks, rotação automática.

7. Discovery (TA0007)

• T1046 — Network Service Scanning. Enumeração de subdomínios expostos, portas abertas.

- Defesa: attack surface management, disciplina de expor apenas o necessário.

• T1087 — Account Discovery. Enumeração de usuários via mensagens diferentes em login ("usuário não existe" vs "senha inválida").

- Defesa: mensagem genérica, rate limit.

8. Lateral Movement (TA0008)

• T1210 — Exploitation of Remote Services. SSRF permitindo pivot para serviços internos (metadata AWS, Redis, banco).

- Defesa: IMDSv2, egress control, veja Anatomia de uma SSRF.

• T1550 — Use Alternate Authentication Material. JWT roubado usado para acessar outros tenants.

- Defesa: JWT curto (< 15 min), refresh rotacionado, revogação server-side.

9. Collection (TA0009)

• T1005 — Data from Local System. Dump de banco via SQL injection ou backup exposto no S3 público.

- Defesa: sanitização, ORM, buckets privados por padrão, scanner de S3 público.

• T1213 — Data from Information Repositories. Confluence, Jira e Google Drive públicos com dado sensível.

- Defesa: DLP, revisão de permissões de compartilhamento, verificação contínua.

10. Exfiltration (TA0010)

• T1041 — Exfiltration Over C2 Channel. Envio de dado para servidor do adversário via HTTPS.

- Defesa: egress allowlist, detecção de volume anômalo.

• T1567 — Exfiltration Over Web Service. Dropbox, Discord, Telegram como canais.

- Defesa: bloqueio de domínios não corporativos, DLP em gateway.

Matriz-resumo BR

| Tática | Técnica top 1 BR | Frequência campanhas BR | Defesa principal | |--------|------------------|-------------------------|------------------| | Initial Access | Exploit Public-Facing App | Muito alta | Varredura contínua + WAF | | Execution | Command Injection | Alta | Sanitização + sandbox | | Persistence | Web Shell | Alta | Monitor de uploads | | Priv Escalation | BOLA/BFLA | Alta | Teste de autorização | | Defense Evasion | Obfuscation | Média | WAF decoders | | Credential Access | Credential Stuffing | Muito alta | Rate limit + MFA | | Discovery | Subdomain Enum | Alta | ASM contínuo | | Lateral Movement | SSRF | Média-alta | IMDSv2 + egress control | | Collection | SQL Dump | Alta | ORM + backup privado | | Exfiltration | HTTPS C2 | Média | Egress allowlist |

Como priorizar

Não persiga a matriz inteira. Aplique Pareto: defesa em Initial Access e Credential Access corta 60% das campanhas observadas contra empresas brasileiras. Depois disso, priorize por indústria.

A Varredura mapeia continuamente sua superfície pública contra técnicas de Initial Access, Discovery e Lateral Movement (SSRF, subdomain enum, painéis expostos), devolvendo findings acionáveis. Rode agora e veja quais quadrantes do ATT&CK sua empresa já cobre — e quais deixou aberto.