Die Warnung läuft um 2:17 Uhr ab. Sie zählen sich zum Glück, dass dies am Nachmittag ist, nicht am Morgen. Sie lassen, was Sie tun, öffnen die Konsole und beginnen zu graben. Oh, ein bedeutender Anstieg des Ausgangsverkehrs von einem Kubernetes-Node. Ein privilegiertes Service-Konto, das von einer unbekannten IP-Adresse authentifiziert wird. Hmm, einige DNS-Anfragen sehen ... seltsam aus, aber nicht so seltsam. Sie drehen sich durch Dashboards, verfolgen die Quelle in Ihrem SIEM, überprüfen Cloud-Logs, abfragen Identitätsdaten und sogar ziehen Container-Logs. War es eine falsch konfigurierte Arbeitsbelastung? Ein Entwickler, der ein Bereitstellungsskript testet? Ein legitimer Automatisierungsjob oder der erste Schritt einer seitlichen Bewegung durch jemanden, der bereits drin ist? Die Indikatoren verschwimmen zusammen, bis Sie nicht sagen können, ob Sie einen Angriff im Gange oder ein anderes falsches Positiv in einem Meer von Lärm erwischt haben. Zwanzig Minuten später schließt man das Ticket mit der gleichen Notiz wie das letzte: „Monitoring“. Stellen Sie sich vor, Sie tun das fünfzigmal täglich. Das Backlog wächst, wenn sich Bedrohungen über das Netzwerk bewegen, indem sie gültige Anmeldeinformationen verwenden und sich mit legitimen Aktivitäten mischen und zweideutige Spuren hinterlassen. Viele Sicherheitsteams stehen vor einer harten Realität: Traditionelle Erkennungssysteme fangen bekannte Bedrohungen wie Signatur-Exploits, Anomalien und dokumentierte Indikatoren. Sicherheit sollte nicht nur darin bestehen, das Böse zu stoppen, sondern zu verstehen, wie das Böse tatsächlich passiert. Aufbauend auf jahrelanger Realitätsbedrohungsforschung bietet es eine lebendige Karte darüber, wie Gegner operieren, seitlich bewegen und Systeme Schritt für Schritt ausbeuten. Und wenn es mit einer modernen Analyseplattform kombiniert wird, verwandelt es dieses Verständnis in handlungsfähige Sichtbarkeit, indem es genau zeigt, wo Ihre Abwehrkräfte stark sind und im Gegensatz dazu, wo sie schwach sein können. Mitre ATT&CK In diesem Artikel wird erläutert, wie MITRE ATT&CK die Bedrohungserkennung von reaktiv zu proaktiv verschiebt, wie moderne Analyseplattformen dies unterstützen und bewährte Praktiken für die Entwicklung einer adaptiven Detektionslogik teilen. Das ATT&CK Framework Die meisten Sicherheitsrahmen beginnen mit dem, was nach dem Ereignis schief ging. MITRE ATT&CK beginnt mit dem, wie die Dinge in erster Linie schief gehen. Entwickelt von der Nonprofit , der (Adversarial Tactics, Techniques, and Common Knowledge) ist eine lebendige Wissensbasis für das Verhalten von Angreifern in der realen Welt. Karte von Taktiken (das Warum) und Techniken (das Wie), die Gegner in verschiedenen Phasen eines Eindringens verwenden. Mitre Corporation ATT&CK Die ATT&CK Matrix Anstatt sich auf Malware-Signaturen oder statische Indikatoren zu konzentrieren, betont es beobachtbares Verhalten, Angreifer-Taktiken wie Zugriffsgewinnung, Eskalation von Privilegien, Seitenbewegung oder Datenexfiltration. Der Rahmen beschreibt, wie , eine Bedrohungsgruppe, die mit mehreren Spionageoperationen verbunden ist, missbraucht häufig legitime Anmeldeinformationen, um sich in den regulären Netzwerkverkehr zu vermischen. APT29 - Der hübsche Bär (Cozy Bear) Ein SOC-Analyst, der ein PowerShell-Befehl untersucht, könnte es als T1059.001 (Command and Scripting Interpreter: PowerShell) markieren, während ein Cloud-Ingenieur, der IAM-Logs überprüft, sich auf T1078 (Valid Accounts) beziehen könnte. Die Stärke von ATT&CK liegt in seiner laufenden Entwicklung, die jüngste Bedrohungsintelligenz, Beobachtungen und Community-Einträge umfasst, um das aktuelle Angreiferverhalten zu reflektieren. Real World ATT & CK Heutzutage beanspruchen alle großen Sicherheitsplattformen die „MITRE ATT&CK-Integration“: Splunk, Microsoft Sentinel, Palo Alto Networks, Sumo Logic und Check Point. Sie bieten alle Dashboards an, die die Erkennung von ATT&CK-Taktiken und -Techniken mappieren. Aber nicht alle Dashboards sind gleich. Einige bieten nur Oberflächenebene, farbcodierte Matrizen, die beeindruckend aussehen, aber nicht zeigen, was in Ihrer Umgebung nachweisbar ist. Andere zeigen nur eine oder zwei Datenquellen an, was Sichtbarkeitslücken hinterlässt. Für diesen Artikel verwenden wir Sumo Logic. als Beispiel für die Art von Werkzeug, das Sie verwenden können, um Erkenntnisse auf ATT&CK-Techniken zu mappen. Anstatt nur eine ATT&CK-Matrix anzuzeigen, verbindet es die Punkte zwischen Ihren tatsächlichen Erkennungsregeln und den Techniken, zu denen sie mappen. Es analysiert Ihre Sicherheitsinhalte, einschließlich Korrelationsregeln, Log-Muster und Erkenntnisse-als-Code. Bedrohung Abdeckung Explorer Durch die Kombination des richtigen Tools mit ATT&Ck können Sie: 
 
 
 
 
 Sehen Sie, welche ATT&CK-Techniken Sie tatsächlich erkennen können. anstatt sich auf Anbieterstandards zu verlassen, können Sie Ihre Erkenntnisse auswerten und sie auf relevante ATT&CK-TTPs mappen. Führen Sie Gap-Analyse und Peer-Vergleiche durch. Sie können Ihre Abdeckung gegenüber Industrie-Peers sowohl auf technischer als auch auf technologischer Ebene benchmarkieren. Sind Ihre Erkenntnisse bei Credential Access (TA0006) stark, aber bei Seitenbewegung (TA0008) schwach? Kennzeichnen Sie benutzerdefinierte Regeln mit ATT&CK-Techniken. Erkennungsingenieure können Korrelationsregeln mit spezifischen ATT&CK-IDs wie T1055 für Prozessinjektion oder T1552.001 für ungesicherte Anmeldeinformationen in Dateien kennzeichnen, so dass Ihre Inhaltsbibliothek automatisch auf das Framework mappt. Visualisieren Sie die Abdeckung auf einen Blick. Sie können eine Heatmap sehen, die zeigt, welche Techniken vollständig, teilweise oder nicht abgedeckt sind. Sie können von taktischen Zusammenfassungen zu Regeln, Ereignissen und Datenquellen nach unten drücken. Dieser Ansatz verwandelt ATT&CK aus einem theoretischen Rahmen in eine lebendige Betriebskarte. Stellen Sie sich ein Szenario vor, in dem Ihre Logs Missbrauch von Anmeldeinformationen erfassen (T1078) aber Ausdauermechanismen wie geplante Aufgaben (T1053) verpassen. Es zeigt diesen Blindspot, bevor ein Angreifer ihn ausnutzen kann. Und weil es dynamisch aktualisiert, wenn sich Ihre Regeln oder Inhalte entwickeln, wird es Teil Ihres kontinuierlichen Erkennungs-Engineering-Arbeitsflusses, anstatt einer einmaligen Bewertung. Verwenden von ATT&CK für bessere SecOps Die wahre Stärke von MITRE ATT&CK liegt nicht in seiner Taxonomie. Im Kern ist die ATT&CK-Taxonomie ein Schema für angreifendes Verhalten. Jede Taktik ist wie eine Stufe im Arbeitsablauf eines Angreifers, während jede Technik die spezifische Umsetzung dieses Schritts beschreibt. Es ist eine Struktur, wie Angriffe sich entfalten, basierend auf empirischen Beweisen aus tatsächlichen Eindringen und nicht auf theoretischen Modellen. Viele Organisationen verbringen ihre Tage mit der Verfolgung von Warnungen. Jede Erkennung wird als ein isoliertes Ereignis behandelt, anstatt als Schritt in einer größeren Erzählung. ATT & CK ändert diese Denkweise. Sie können Hypothesen testen („Wenn ein Angreifer anfänglichen Zugriff durch Phishing erlangt hat, würden wir ihre Seitenbewegungen sehen?“), die Erkennungslogik validieren und kontinuierlich Verbesserungen im Laufe der Zeit messen. Da ATT&CK sich wie Gegner weiterentwickelt, kann auch Ihre Erkennungslogik wachsen.Neue Techniken erscheinen im Rahmen, da sie in der Wildnis beobachtet werden, was den Ingenieuren einen ersten Schritt bei der Aktualisierung von Korrelationsregeln, Dashboards und Automatisierungsspielbüchern gibt, bevor diese Taktiken in Produktionsumgebungen auftauchen. Proaktive Sicherheit ist ein Prozess, nicht ein Steady-State.Mit ATT & CK als Ihrem Blueprint und dem richtigen Werkzeug als Ihrer Linse kann Ihr Team von der Reaktion auf Warnungen auf das Vorhersagen des Angreiferverhaltens wechseln. MITRE ATT&CK ist Ihr Blueprint Sicherheit geht nicht darum, höhere Wände zu bauen; es geht darum, zu verstehen, wie sich Angreifer in ihnen bewegen. Das nächste Mal, wenn 2:17 Uhr Alarmfeuer entstehen, muss es nicht mit „Monitoring“ enden. Mit MITRE ATT&CK als Plan und dem richtigen Werkzeug als Objektiv werden dieselben Signale zu Kontext und nicht zu Chaos.Sie werden wissen, welche Verhaltensweisen von Bedeutung sind, wo Ihre Verteidigung steht und wie Sie sie stärken können, bevor sich Angreifer anpassen können.Zusammen verwandeln sie Sicherheit vom reaktiven Lärmmanagement in einen Kreislauf des kontinuierlichen Lernens und der proaktiven Verteidigung, weshalb ATT&CK weiterhin in der Praxis arbeitet, nicht nur in der Theorie. Haben Sie einen wirklich tollen Tag!

This story contains new, firsthand information uncovered by the writer.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Warum der MITRE ATT&CK Framework wirklich funktioniert

About Author

KOMMENTARE

Hängeetiketten

DIESER ARTIKEL WURDE VORGESTELLT IN

Related Stories

HackerNoon Decoded 2024: Celebrating Our Data Science Community!

HackerNoon Decoded: The Top 10 Countries Where HackerNoon Is the Most Active

HackerNoon Decoded 2024: Celebrating Our Writing Community!

HackerNoon Decoded 2024: Celebrating Our Cybersecurity Community!

HackerNoon Decoded 2024: Celebrating Our Data Science Community!

HackerNoon Decoded: The Top 10 Countries Where HackerNoon Is the Most Active

HackerNoon Decoded 2024: Celebrating Our Writing Community!

HackerNoon Decoded 2024: Celebrating Our Cybersecurity Community!

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps