10 kwietnia, 2024

Co to jest MITRE ATT&CK Framework?

Tymoteusz Foryś

Udostępnij

Framework MITRE ATT&CK to uporządkowana baza wiedzy śledząca taktyki i techniki wykorzystywane przez cyberprzestępców na wszystkich etapach cyklu ataku. Framework ten ma być czymś więcej niż tylko zbiorem danych: ma służyć jako narzędzie do wzmacniania pozycji bezpieczeństwa organizacji.

Dzięki temu, że MITRE ATT&CK przyjmuje perspektywę przeciwnika, zespoły ds. bezpieczeństwa mogą łatwiej wywnioskować motywacje przeciwnika dla poszczególnych działań i zrozumieć, jak te działania odnoszą się do konkretnych klas obrony.

Skąd pochodzą dane w ramach MITRE ATTACK Framework?

MITRE’s ATT&CK zdobywa informacje, dzięki Threat Intelligence, raportom z incydentów, oraz badaniom prowadzonym przez analityków cyberbezpieczeństwa oraz Threat Hunters. Wszystkie te dane używa się w celu lepszego zrozumienia “złych aktorów”. Dzięki temu można szybciej wykryć i zatrzymać ich niebezpieczne zachowania.

Historia MITRE ATTACK Framework

MITRE to organizacja non-profit, która została utworzona w celu dostarczania porad inżynieryjnych i technicznych dla rządu federalnego. Organizacja pierwotnie opracowała ten framework w ramach projektu badawczego MITRE w 2013 roku i nazwała go od zbieranych danych, czyli Adversarial Tactics, Techniques, and Common Knowledge, skrótowo ATT&CK.

MITRE ATT&CK został udostępniony publicznie za darmo w 2015 roku i dziś pomaga zespołom ds. bezpieczeństwa we wszystkich sektorach w zabezpieczaniu ich organizacji przed znanymi i pojawiającymi się zagrożeniami. Chociaż pierwotnie MITRE ATT&CK skupiał się na zagrożeniach wobec systemów przedsiębiorstw Windows, dziś obejmuje również systemy Linux, urządzenia mobilne, macOS oraz ICS.

Oto trzy iteracje MITRE ATT&CK:

ATT&CK dla Przedsiębiorstw: Skupia się na identyfikowaniu i imitowaniu zachowań wrogów w środowiskach Windows, Mac, Linux i chmury.
ATT&CK dla Mobile: Skupia się na identyfikowaniu i imitowaniu zachowań wrogów w systemach operacyjnych Android i iOS.
ATT&CK dla ICS: Skupia się na opisywaniu działań, które wrodzy mogą podejmować, działając w systemie kontroli przemysłowej (ICS).

CrowdStrike Falcon

Poznaj rozwiązanie, które według ocen MITRE Engenuity ATT&CK®: Enterprise doskonale radzi sobie z zatrzymywaniem naruszeń!

Sprawdzam!

Macierz MITRE ATT&CK: taktyki i techniki

Specyficzni wrogowie, hakerzy zwykle używają specyficznych technik, które musimy poznać, aby jeszcze lepiej zadbać o bezpieczeństwo organizacji. Framework MITRE ATT&CK kataloguje informacje, które korelują grupy przeciwników z kampaniami, dzięki czemu zespoły ds. bezpieczeństwa mogą lepiej zrozumieć, z kim mają do czynienia, ocenić swoją strategię obrony i wzmocnić bezpieczeństwo tam, gdzie jest to najbardziej potrzebne.

Czym są taktyki MITRE ATT&CK?

Taktyki przeciwników to techniczne cele, które zamierza osiągnąć. Możemy je kategoryzować według tych celów. Na przykład, obecnie w macierzy przedsiębiorstw skatalogowanych jest 14 taktyk:

Rozpoznanie: Techniki, które aktywnie lub pasywnie zbierają informacje, aby planować przyszłe ukierunkowane ataki.
Pozyskiwanie zasobów: Atakujący kupują lub kradną zasoby, aby wykorzystać je do przyszłego ataku.
Pierwszy dostęp: Techniki, gdzie przeciwnicy próbują uzyskać przyczółek w twojej sieci przez różne wektory ataku.
Wykonanie: Techniki, które próbują uruchomić złośliwy kod na systemie lokalnym lub zdalnym.
Utrzymanie dostępu: Taktyki, w których przeciwnicy próbują utrzymać swoją pozycję w sieci lokalnej lub zdalnej.
Eskalacja uprawnień: Przeciwnik próbuje uzyskać uprawnienia wyższego poziomu do sieci organizacji.
Unikanie wykrycia: Techniki przeciwnika mające na celu uniknięcie wykrycia podczas przemieszczania się po sieci.
Dostęp do danych uwierzytelniających: Taktyki koncentrujące się na pozyskiwaniu poufnych danych uwierzytelniających, takich jak hasła.
Odkrywanie: Przeciwnicy próbują zrozumieć, jak działają twoje systemy.
Ruch boczny: Obejmuje przeciwników, którzy wchodzą do systemów i kontrolują je, przemieszczając się przez sieć.
Zbieranie: Techniki gromadzenia informacji z odpowiednich źródeł w organizacji.
Dowodzenie i kontrola (C2 lub C&C): Gdy przeciwnicy komunikują się z zaatakowanymi systemami w celu uzyskania kontroli.
Eksfiltracja: Składa się z technik, które bezpośrednio kradną dane z twojej sieci.
Wpływ: Przeciwnicy koncentrują się na zakłóceniu dostępności lub integralności danych i przerywaniu operacji biznesowych.

Co oznaczają techniki w macierzy MITRE ATT&CK?

Technika opisuje jeden konkretny sposób, w jaki przeciwnik może próbować osiągnąć swój cel. Zidentyfikowano wiele technik i podtechnik. Wynika to z faktu, że przeciwnicy mogą stosować różne techniki w zależności od czynników, takich jak ich umiejętności, konfiguracja systemu, celu i dostępność odpowiednich narzędzi.Każda zidentyfikowana technika zawiera opis metody, systemów i platform, do których się odnosi, informacje na temat grupy przeciwników, która jej używa (jeśli jest to znane), sposoby ograniczenia aktywności.Wykaz wszystkich technik znajdziesz tutaj: MITRE ATT&CK Enterprise Techniques.

Przykłady zastosowania macierzy MITRE ATT&CK

Niektóre ze sposobów, w jakie zespół ds. bezpieczeństwa może używać MITRE ATT&CK, to:

Przeprowadzenie analizy luk w bezpieczeństwie i planowanie poprawek bezpieczeństwa
Wzmocnienie cyber threat intelligence
Przyspieszenie oceny i badania alertów
Tworzenie bardziej realistycznych scenariuszy
Ocena SOC
Jasna i zwięzła komunikacja z interesariuszami
Nabycie wspólnego języka, który jest pomocny podczas pracy z konsultantami i dostawcami.

CrowdStrike według oceny MITRE Engenuity ATT&CK®

Platforma CrowdStrike Falcon, napędzana sztuczną inteligencją, osiągnęła 100% ochrony, 100% widoczności i 100% zasięgu wykrywania analitycznego w 5. rundzie ocen MITRE Engenuity ATT&CK®: Enterprise. Platforma Falcon zatrzymała 13 z 13 scenariuszy ochrony, obejmujących każdy etap ataku, co udowadnia, że została stworzona z myślą o zatrzymywaniu różnego rodzaju naruszeń.

Tutaj warto zaznaczyć, że wyniki tego testu mogą być bardzo mylące. W przeciwieństwie do innych analiz, MITRE nie umieszcza dostawców na kwadrancie czy wykresie, ani nie dostarcza porównawczej oceny. Pozostawia interpretację samym dostawcom i klientom — co oznacza, że zostaniecie zasypani twierdzeniami o „wygranej” w ocenie. W MITRE nie ma zwycięzców ani liderów, tylko surowe dane. Tak więc te surowe dane mówią bardzo wyraźnie, że platforma CrowdStrike Falcon® doskonale radzi sobie z powstrzymywaniem naruszeń, które wymaga pełnej widoczności, wykrywania i ochrony. Platforma osiągnęła pełną 100% ochronę na wszystkich etapach, skutecznie odcinając przeciwnika i uniemożliwiając mu postęp w scenariuszach.

Podsumowanie

MITRE ATT&CK to zaawansowana baza wiedzy dokumentująca taktyki i techniki cyberprzestępców, mająca na celu wzmacnianie cyberbezpieczeństwa organizacji. Dane do frameworka pochodzą z Threat Intelligence, raportów incydentów i badań cyberbezpieczeństwa. Rozwinięty przez organizację non-profit MITRE w 2013 roku, publicznie dostępny od 2015, obejmuje systemy Windows, Linux, macOS, urządzenia mobilne i ICS. Jest wykorzystywany do analizy luk w bezpieczeństwie, wzmocnienia threat intelligence, czy tworzenia scenariuszy testowych. Platforma CrowdStrike Falcon, oceniana przez MITRE Engenuity ATT&CK®, wykazała 100% skuteczność w ochronie, widoczności i wykrywaniu. Framework stanowi kluczowe narzędzie dla zespołów ds. bezpieczeństwa, umożliwiając lepsze zrozumienie i przeciwdziałanie cyberzagrożeniom.

Czy rozwiązanie CrowdStrike Falcon jest odpowiednie dla Twojej organizacji?