Upozorenje odlazi u 2:17 sati. Smatrate se sretnima da je ovo poslijepodne, a ne ujutro.Pustite ono što radite, otvorite konzolu i počnite kopati. Oh, značajan porast izlaznog prometa iz čvora Kubernetes. Privilegirani servisni račun koji se autentificira s nepoznatog IP-a. Hmm, neki DNS zahtjevi izgledaju... čudno, ali ne tako čudno. Vi se okrećete kroz kontrolne ploče, pratite izvor u vašem SIEM-u, provjerite logove u oblaku, upite podatke o identitetu, pa čak i povucite logove kontejnera. Ništa definitivno. Nema potvrđene povrede. Nema jasne priče. Je li to bilo pogrešno konfigurirano radno opterećenje? programer testira skript za uvođenje? legitimni posao automatizacije ili prvi korak bočnog kretanja od strane nekoga već unutar? Indikatori se zamagljuju dok ne možete reći da li ste uhvatili napad u tijeku ili drugi lažni pozitivni u moru buke. Dvadeset minuta kasnije, zatvorite kartu istom notom kao i posljednja: "Monitoring". Zamislite da to radite pedeset puta dnevno. Backlog raste dok se prijetnje kreću kroz mrežu koristeći valjanu povjerljivost, miješajući se s legitimnom aktivnošću, ostavljajući nejasne tragove. Mnoge sigurnosne ekipe suočavaju se s teškom stvarnošću: tradicionalni sustavi detekcije hvata poznate prijetnje kao što su eksploiti potpisa, anomalije i dokumentirani pokazatelji. Sigurnost ne bi trebala biti samo o zaustavljanju lošeg, već o razumijevanju kako se zlo zapravo događa. Izgrađen na temelju godina istraživanja prijetnji u stvarnom svijetu, nudi živu mapu kako protivnici djeluju, kreću se bočno i iskorištavaju sustave korak po korak.I kada je u kombinaciji s modernom analitičkom platformom, pretvara to razumijevanje u djelotvornu vidljivost pokazujući točno gdje su vaše obrane jake i, naprotiv, gdje mogu biti slabe. Sljedeći Članak MITRE AT&CK Ovaj članak objašnjava kako MITRE ATT&CK mijenja otkrivanje prijetnji s reaktivnog na proaktivno, kako moderne analitičke platforme to podržavaju i dijeli najbolje prakse za razvoj adaptivne logike otkrivanja. Okvir ATT & CK Većina sigurnosnih okvira počinje s onim što je pošlo po zlu nakon činjenice. MITRE ATT&CK počinje s načinom na koji stvari idu po zlu na prvom mjestu. Razvijen od strane neprofitnih , (Neprijateljske taktike, tehnike i zajedničko znanje) je živa baza znanja o ponašanju napadača u stvarnom svijetu. Mape taktike (zašto) i tehnike (kako) koje protivnici koriste u različitim fazama invazije. MITRE korporacija ATT&CK ATT & CK Matrix Umjesto da se usredotoči na potpisivanje zlonamjernog softvera ili statičke pokazatelje, naglašava promatrano ponašanje, taktike napadača kao što su stjecanje pristupa, eskalacija povlastica, lateralni pokret ili ispuštanje podataka. Na primjer, okvir je detaljan kako , skupina prijetnji povezana s višestrukim operacijama špijunaže, često zloupotrebljava legitimne povjerljivosti kako bi se miješala u redoviti mrežni promet. APT29 (Kozni medvjed) Ovaj model ponašanja pomaže sigurnosnim i inženjerskim timovima da govore zajedničkim jezikom. SOC analitičar koji istražuje PowerShell komandu mogao bi ga označiti kao T1059.001 (komandni i skriptni tumač: PowerShell), dok bi inženjer u oblaku koji pregledava IAM dnevnike mogao upućivati na T1078 (Valid Accounts). Svaka tehnika uključuje definicije, ideje za otkrivanje i upućivanja na potvrđene incidente, čineći ATT&CK praktičnim za inženjerstvo otkrivanja kao i za odgovor na incidente. Snaga ATT&CK-a leži u njegovoj kontinuiranoj evoluciji, uključujući nedavne obavještajne informacije o prijetnjama, promatranja i ulaz u zajednicu kako bi odražavali trenutačno ponašanje napadača. Realni svijet ATT&CK Danas, svaka velika sigurnosna platforma tvrdi da je "MITRE ATT&CK integracija": Splunk, Microsoft Sentinel, Palo Alto Networks, Sumo Logic i Check Point. Svi oni nude ploče koje mape detekcije na taktike i tehnike ATT&CK. Ali nisu sve ploče jednake. Neki pružaju samo površinske, boje kodirane matrice koje izgledaju impresivno, ali ne pokazuju što je detektivno u vašem okruženju. Drugi prikazuju samo jedan ili dva izvora podataka, ostavljajući vidljivost praznine. U ovom članku ćemo koristiti Sumo Logic kao primjer vrste alata koji možete koristiti za mapiranje detekcija na tehnike ATT&CK. Umjesto samo prikazivanja matrice ATT&CK, ona povezuje točke između vaših stvarnih pravila detekcije i tehnika na koje oni mapiraju. Ona analizira vaš sigurnosni sadržaj, uključujući pravila korelacije, log obrasce i detekcije-kao-koda. i gradi vizualni model vaše obrambene pokrivenosti u svim taktikama i tehnikama ATT&CK u svim ovim sadržajima. Prijetnja pokrivenosti Explorer Kombiniranjem pravog alata s ATT&Ck, možete: 
 
 
 
 
 Pogledajte koje tehnike ATT&CK zapravo možete otkriti. Umjesto da se oslanjate na podrazumijevanja dobavljača, možete procijeniti svoje detekcije i mapirati ih na relevantne TTP-ove ATT&CK. Vidite gdje imate vidljivost, a gdje ne. Možete usporediti svoju pokrivenost s industrijskim kolegama na tehničkoj i tehnološkoj razini. jesu li vaše detekcije snažne na povjerljivom pristupu (TA0006) ali slabe na bočnom pokretu (TA0008)? Detekcijski inženjeri mogu označiti korelacijska pravila s specifičnim ATT&CK ID-ovima kao što je T1055 za injekciju procesa ili T1552.001 za nezaštićene povjerljive podatke u datotekama, što omogućuje vašoj knjižnici sadržaja da automatski mapira okvir. Vizualizirajte pokriće na jedan pogled. Možete vidjeti toplinsku mapu koja prikazuje koje su tehnike u potpunosti, djelomično ili ne pokrivene. Možete probiti od taktičkih sažetaka do pravila, događaja i izvora podataka. Ovaj pristup pretvara ATT&CK iz teorijskog okvira u živu operativnu mapu. Zamislite scenarij u kojem vaši dnevnici sakupljaju zlouporabu povjerljivosti (T1078) ali propuste mehanizme ustrajnosti kao što su planirani zadaci (T1053). On otkriva tu slijepu točku prije nego što ga napadač može iskoristiti. I budući da se dinamički ažurira kako se vaša pravila ili sadržaj razvijaju, postaje dio vašeg kontinuiranog protok rada inženjeringa detekcije umjesto jednokratne procjene. Na isti način DevOps timovi oslanjaju se na metriku promatranja kako bi mjerili zdravlje sustava, moderni SecOps timovi sada mogu mjeriti zdravlje detekcije. Korištenje ATT&CK za bolji SecOps Prava snaga MITRE ATT&CK-a nije u njegovoj taksonomiji. U središtu je taksonomija ATT&CK-a shema protivničkog ponašanja. Svaka taktika je kao faza u toku rada napadača, dok svaka tehnika opisuje specifičnu provedbu tog koraka. To je struktura kako se napadi odvijaju, utemeljena na empirijskim dokazima iz stvarnih intruzija umjesto teorijskih modela. Mnoge organizacije provode svoje dane u pronalaženju upozorenja.Svako otkrivanje tretira se kao izolirani događaj, a ne kao korak u većoj priči.ATT&CK mijenja taj način razmišljanja.Mapiranjem aktivnosti na poznate taktike i tehnike protivnika, timovi počinju razmišljati kao napadači i time predviđati što će biti sljedeće umjesto čekanja drugog upozorenja. Kada se kombinira s pravim alatom, ovaj način razmišljanja postaje operativan. Možete testirati hipoteze („Ako je napadač stekao početni pristup putem phishing-a, vidjeli bismo li njihovo lateralno kretanje?“), validirati logiku detekcije i kontinuirano mjeriti poboljšanja tijekom vremena. Budući da se ATT&CK razvija kao i protivnici, vaša detekcijska logika također može rasti.Nove tehnike pojavljuju se u okviru kako se promatraju u divljini, dajući inženjerima prvi korak u ažuriranju pravila korelacije, kontrolnih ploča i knjiga o automatizaciji prije nego što se te taktike pojave u proizvodnim okruženjima. Proaktivna sigurnost je proces, a ne stalno stanje.Sa ATT&CK-om kao vašim planom i pravim alatom kao vašim objektivom, vaš tim može prijeći od reagiranja na upozorenja prema predviđanju ponašanja napadača. MITRE ATT&CK je vaš blueprint Sigurnost se ne odnosi na izgradnju viših zidova, već na razumijevanje kako se napadači kreću unutar njih.Sljedeći put kada se u 2:17 ujutro pojave upozorenja, ne mora se završiti "Monitoringom". S MITRE ATT&CK-om kao vašim planom i pravim alatom kao vašim objektivom, ti isti signali postaju kontekst, a ne kaos.Znaćete koje su ponašanja važna, gdje su vaše obrane i kako ih ojačati prije nego što se napadači mogu prilagoditi.Zajedno, oni pretvaraju sigurnost iz reaktivnog upravljanja buke u ciklus kontinuiranog učenja i proaktivne obrane, zbog čega ATT&CK nastavlja raditi u praksi, a ne samo u teoriji. Imajte zaista sjajan dan!

This story contains new, firsthand information uncovered by the writer.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Zašto okvir MITRE ATT&CK zapravo radi

About Author

KOMENTARI

VIJESI OZNAKE

OVAJ ČLANAK JE PREDSTAVLJEN U

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps