Struktura Framework obejmuje trzy macierze: Enterprise (systemy stacjonarne i serwerowe – Windows, macOS, Linux – oraz usługi chmurowe, sieci i kontenery), Mobile (Android i iOS) oraz ICS (przemysłowe systemy sterowania). Macierz przedstawia taktyki jako kolumny, a przypisane im techniki jako wiersze.
Macierz Enterprise dzieli się (według wersji 19) na 15 taktyk odzwierciedlających kolejne cele atakującego: rozpoznanie (), przygotowanie zasobów (), uzyskanie pierwszego dostępu (), wykonanie kodu (), utrzymanie dostępu (), eskalację uprawnień (), ukrywanie działań (), osłabianie obrony (), pozyskiwanie poświadczeń (), rozpoznanie środowiska (), ruch boczny (), gromadzenie danych (), komunikację z systemami ofiary (), eksfiltrację danych () i wywieranie wpływu na systemy (). Taktykom przyporządkowane są techniki i subtechniki – w wersji 19 macierz Enterprise opisuje 222 techniki.
Poza taktykami i technikami baza kataloguje także grupy przestępcze i szpiegowskie (identyfikatory G, np. APT28), używane przez nie oprogramowanie (identyfikatory S), kampanie oraz środki zaradcze i metody detekcji przypisane poszczególnym technikom.