MITRE ATT&CK è il dizionario condiviso del come gli attaccanti operano: una matrice che cataloga le Tattiche (i perché – accesso iniziale, persistenza, escalation, esfiltrazione), le Tecniche (i come – phishing, process injection, pass-the-hash) e le Procedure (le implementazioni concrete usate da gruppi reali). Insieme sono le TTP.
Perché è diventata infrastruttura per tutta la difesa: dà un linguaggio comune – invece di descrizioni vaghe, si dice "T1055, Process Injection", e chiunque nel settore sa esattamente di cosa si parla. Concretamente serve a: mappare la detection ("quali tecniche copro e quali no?" – è la coverage map), guidare il threat hunting ("se un attaccante usasse T-questo, cercherei..."), profilare gli avversari, e comunicare le minacce in modo strutturato.
È la spina dorsale della moderna threat intelligence: le TTP stanno in cima alla Pyramid of Pain – difficilissime da cambiare per l'attaccante, quindi le più preziose da rilevare. Il complemento difensivo è MITRE D3FEND (le contromisure). Non è uno standard di conformità: è la mappa con cui capire cosa difendere e misurare quanto bene lo stai facendo.