ATT&CK beschreibt Angreiferverhalten und hilft, ein Testszenario mit erwarteten Beobachtungen zu verbinden. Eine markierte Matrixzelle ist erst dann hilfreich, wenn klar ist, welche Daten und welche Entscheidung dahinterstehen.
Ein abgegrenztes Erkennungs oder Übungsziel. Vor dem Einsatz werden Eigentümer, Umfang, Rückweg und Ergebnisverwendung geklärt.
Arbeite mit einem begrenzten Prüfziel und einem dokumentierten Ergebnis.
Ein Team prüft, ob ungewöhnliche administrative Kontoänderungen sichtbar werden. Es dokumentiert das Ereignis, die Alarmierung und die Zeit bis zur ersten fachlichen Entscheidung.
Ein brauchbarer Bericht enthält Zeitpunkt, Umfang, beobachtete Wirkung und offene Fragen. Ergebnisse gelten für die geprüfte Umgebung und den geprüften Ausschnitt. Ein leerer Bericht oder ein abgeschlossener Test beweist keine vollständige Sicherheit.