A alerta apaga ás 2:17 horas. Cáltaste afortunado de que este sexa pola tarde, non pola mañá.Tiras o que estás a facer, abre a consola e comeza a cavar. Oh, un pico significativo no tráfico de saída dun nodo Kubernetes. Unha conta de servizo privilexiada que autentica desde un IP descoñecido. Hmm, algunhas solicitudes de DNS parecen... estrañas, pero non tan estrañas. Vostede pivota a través de paneis, rastrexa a fonte no seu SIEM, verifica os rexistros de nube, consulta datos de identidade e mesmo tira rexistros de contedores. Nada definitivo. Non hai violación confirmada. Non aparece unha historia clara. Foi unha carga de traballo mal configurada? Un desenvolvedor que probou un guión de implementación? Un traballo de automatización lexítimo ou o primeiro paso de movemento lateral por alguén xa dentro? Os indicadores desvanecen ata que non podes dicir se atopas un ataque en curso ou outro falso positivo nun mar de ruído. Vinte minutos despois, pecha o billete coa mesma nota que a última: "Monitoreo". Imaxina facelo cincuenta veces ao día. O retroceso crece a medida que as ameazas se moven a través da rede usando credenciais válidas, mesturándose con actividade lexítima, deixando pegadas ambiguas. Moitos equipos de seguridade enfróntanse a unha dura realidade: os sistemas tradicionais de detección capturan ameazas coñecidas como explosivos de sinatura, anomalías e indicadores documentados. Pero os atacantes agora imitan o comportamento do usuario, os procesos de secuestro e o pivote alén das regras de correlación, inundando as alertas con poucas significativas. A seguridade non debería ser só para deter o mal, pero entender como o mal realmente ocorre. construído a partir de anos de investigación de ameazas do mundo real, ofrece un mapa vivo de como os adversarios operan, se moven lateralmente e explotan sistemas paso a paso. Xogadores do AT&C Este artigo explica como MITRE ATT&CK cambia a detección de ameazas de reactiva a proactiva, como as plataformas de análise modernas soportan isto, e comparte as mellores prácticas para desenvolver a lóxica de detección adaptativa. O marco ATT&CK A maioría dos marcos de seguridade comezan co que pasou mal despois do feito. MITRE ATT&CK comeza con como as cousas van mal en primeiro lugar. Desenvolvido polo Non-Profit , (Tácticas adversarias, técnicas e coñecemento común) é unha base de coñecemento vivo do comportamento do atacante do mundo real. Mapas tácticas (o porqué) e técnicas (o como) que os adversarios usan en diferentes etapas dunha intrusión. MITRE Corporación ATT&CK ATT&CK Matrix Páxina En lugar de centrarse en sinaturas de malware ou indicadores estáticos, enfatiza o comportamento observable, as tácticas de atacantes como gañar acceso, aumentar os privilexios, o movemento lateral ou a exfiltración de datos. Por exemplo, o cadro detalla como , un grupo de ameazas ligado a múltiples operacións de espionaxe, frecuentemente abusa de credenciais lexítimas para se mesturar co tráfico regular da rede. APT29 (O Oso Cociñoso) Este modelo de comportamento axuda aos equipos de seguridade e enxeñaría a falar un idioma compartido.Un analista SOC que investiga un comando PowerShell podería etiquetalo como T1059.001 (Command and Scripting Interpreter: PowerShell), mentres que un enxeñeiro de nube que revisa os rexistros de IAM podería referirse a T1078 (Contaxes válidas).Cada técnica inclúe definicións, ideas de detección e referencias a incidentes confirmados, facendo que ATT&CK sexa tan práctico para a enxeñaría de detección como para a resposta a incidentes. A fortaleza de ATT&CK reside na súa evolución continua, incorporando intelixencia de ameazas recentes, observacións e entradas da comunidade para reflectir o comportamento actual do atacante. Real World ATT&CK Páxina Hoxe, todas as principais plataformas de seguridade reclaman a integración "MITRE ATT&CK": Splunk, Microsoft Sentinel, Palo Alto Networks, Sumo Logic e Check Point. Todos ofrecen paneis que mapean as deteccións ás tácticas e técnicas de ATT&CK. Pero non todos os paneis son iguais. Algúns ofrecen só matrices a nivel de superficie, codificadas en cores que parecen impresionantes pero non mostran o que é detectable no seu ambiente. Outros mostran só unha ou dúas fontes de datos, deixando lacunas de visibilidade. Poucos axudan a comparar a cobertura coas tácticas do mundo real. Para este artigo, imos usar Sumo Lóxica como un exemplo do tipo de ferramenta que pode usar para mapear as deteccións ás técnicas ATT&CK. En lugar de mostrar só unha matriz ATT&CK, conecta os puntos entre as súas regras reais de detección e as técnicas ás que mapean. Análise o seu contido de seguridade, incluíndo regras de correlación, patróns de rexistro e deteccións como código. E constrúe un modelo visual da súa cobertura defensiva en todas as tácticas e técnicas ATT&CK en todo este contido. Explorador de ameazas Ao combinar a ferramenta correcta con ATT&Ck, pode: 
 
 
 
 
 Vexa que técnicas de ATT&CK pode realmente detectar. en vez de depender dos estándares do provedor, pode avaliar as súas deteccións e mapealas a TTPs relevantes de ATT&CK. Vostede ve onde ten visibilidade e onde non. Realiza análises de diferenzas e comparacións entre pares. Pode comparar a súa cobertura cos compañeiros da industria tanto a nivel técnico como tecnolóxico. As súas deteccións son fortes no acceso de credenciais (TA0006) pero débiles no movemento lateral (TA0008)? Os enxeñeiros de detección poden etiquetar regras de correlación con IDs específicos de ATT&CK como T1055 para inxección de procesos ou T1552.001 para credenciais non seguras en ficheiros, o que permite que a súa biblioteca de contidos mapease automaticamente ao marco. Podes ver un mapa térmico que mostra as técnicas que están cubertas totalmente, parcialmente ou non. Podes borrar desde os resumos tácticos ata as regras, os eventos e as fontes de datos. É máis que un taboleiro, é unha visión actuable da madurez da túa detección. Este enfoque transforma ATT&CK dun marco teórico nun mapa operativo vivo. Imaxina un escenario no que os teus rexistros capturan o mal uso de credenciais (T1078) pero perden mecanismos de persistencia como as tarefas programadas (T1053). Expoñen ese punto cego antes de que un atacante poida explotalo. E porque se actualiza dinamicamente conforme evolucionan as túas regras ou o contido, convértese en parte do teu fluxo de traballo de enxeñaría de detección continua en lugar dunha avaliación única. Do mesmo xeito que os equipos de DevOps dependen das métricas de observación para medir a saúde do sistema, os equipos modernos de SecOps poden agora medir a saúde da detección. Uso de ATT&CK para unha mellor SecOps O verdadeiro poder do MITRE ATT&CK non está na súa taxonomía. No seu núcleo, a taxonomía do ATT&CK é un esquema para o comportamento adversario. Cada táctica é como unha etapa no fluxo de traballo dun atacante, mentres que cada técnica describe a implementación específica dese paso. É unha estrutura de como se desenvolven os ataques, baseada en evidencias empíricas de intrusións reais en vez de modelos teóricos. Esta taxonomía permite un cambio da loita contra incendios reactivos á defensa proactiva. Moitas organizacións pasan os seus días perseguindo alertas.Cada detección é tratada como un evento illado en vez de un paso nunha narración máis grande. ATT&CK cambia esa mentalidade. Ao mapear a actividade a tácticas e técnicas adversarias coñecidas, os equipos comezan a pensar como atacantes e, polo tanto, anticipar o que vén a continuación en lugar de esperar a outra alerta para dicirlles. Cando se combina coa ferramenta correcta, esta mentalidade faise operativa. Pode probar hipóteses ("Se un atacante obtivo acceso inicial a través do phishing, veríamos o seu movemento lateral?"), validar a lóxica de detección e medir continuamente as melloras ao longo do tempo. Como ATT & CK evoluciona como os adversarios, a súa lóxica de detección tamén pode crecer. Novas técnicas emerxen no marco como se observan no campo, dando aos enxeñeiros un comezo na actualización de regras de correlación, dashboards e xoguetes de automatización antes de que esas tácticas aparezan en ambientes de produción. A seguridade proactiva é un proceso, non un estado estable.Con ATT&CK como o teu proxecto e a ferramenta correcta como a túa lente, o teu equipo pode pasar de reaccionar a alertas a anticipar o comportamento do atacante. MITRE ATT&CK é o teu Blueprint A seguridade non é sobre a construción de muros máis altos; é sobre a comprensión de como os atacantes se moven dentro deles. A próxima vez que as 2:17 pm alerta de incendios, non ten que acabar con "monitorización". Co MITRE ATT&CK como o teu proxecto e a ferramenta correcta como a túa lente, eses mesmos sinais convértense en contexto, non en caos. Saberás que comportamentos importan, onde están as túas defensas e como fortalecelas antes de que os atacantes poidan adaptarse. Que teñades un gran día!

This story contains new, firsthand information uncovered by the writer.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Por que o marco MITRE ATT&CK realmente funciona

About Author

COMENTARIOS

Etiquetas colgantes

ESTE ARTIGO FOI PRESENTADO EN

Related Stories

R Systems BlogBook—Chapter 1: Round 2 is Now Open for Submissions🎉

HackerNoon Decoded 2024: Celebrating Our Media Community!

HackerNoon Decoded 2024: Celebrating Our Science Community!

HackerNoon Decoded 2024: Celebrating Our Programming Community!

R Systems BlogBook—Chapter 1: Round 2 is Now Open for Submissions🎉

HackerNoon Decoded 2024: Celebrating Our Media Community!

HackerNoon Decoded 2024: Celebrating Our Science Community!

HackerNoon Decoded 2024: Celebrating Our Programming Community!

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps