Peringatan akan dimatikan pada 2:17 petang. Anda mengira diri anda bernasib baik bahawa ini adalah pada petang, bukan pagi. anda melepaskan apa yang anda lakukan, membuka konsol, dan mula menggali. Oh, kenaikan yang signifikan dalam trafik keluar dari node Kubernetes. Akaun perkhidmatan yang berhak mengesahkan daripada IP yang tidak dikenali. Hmm, sesetengah permintaan DNS kelihatan ... pelik, tetapi tidak begitu pelik. Anda memutar melalui papan panduan, menjejaki sumber dalam SIEM anda, semak log awan, pertanyaan data identiti, dan juga menarik log kontena. Tiada apa-apa yang pasti. Tiada pelanggaran yang disahkan. Tiada cerita yang jelas muncul. Adakah ia merupakan beban kerja yang salah disusun? Pengembang menguji skrip pelancarannya? Pekerjaan automasi yang sah atau langkah pertama pergerakan lateral oleh seseorang yang sudah di dalam? Indikator membengkak bersama-sama sehingga anda tidak boleh memberitahu sama ada anda telah menangkap serangan yang sedang berlangsung atau lain-lain positif palsu dalam lautan bunyi. Dua puluh minit kemudian, anda menutup tiket dengan nota yang sama seperti yang terakhir: "Monitoring." Bayangkan melakukannya lima puluh kali sehari. Backlog meningkat apabila ancaman bergerak melalui rangkaian menggunakan pengesahan yang sah, bercampur dengan aktiviti yang sah, meninggalkan jejak yang tidak jelas. Ramai pasukan keselamatan menghadapi realiti yang keras: sistem pengesanan tradisional menangkap ancaman yang dikenali seperti eksploit tanda tangan, anomali, dan indikator yang didokumenkan. Tetapi penyerang kini meniru tingkah laku pengguna, proses penculikan, dan pivot di luar peraturan korelasi, membanjiri amaran dengan beberapa yang bermakna. Keselamatan seharusnya bukan sahaja tentang menghentikan yang jahat, tetapi memahami bagaimana yang jahat sebenarnya berlaku. Dibina daripada tahun-tahun penyelidikan ancaman dunia sebenar, ia menawarkan peta hidup bagaimana musuh beroperasi, bergerak ke samping, dan mengeksploitasi sistem langkah demi langkah.Dan apabila digabungkan dengan platform analisis moden, ia mengubah pemahaman itu menjadi kelihatan yang boleh dilakukan dengan menunjukkan persis di mana pertahanan anda kuat dan, sebaliknya, di mana mereka mungkin lemah. Perkhidmatan AT&C Artikel ini menerangkan bagaimana MITRE ATT&CK menukar pengesanan ancaman daripada reaktif kepada proaktif, bagaimana platform analisis moden menyokong ini, dan berkongsi amalan terbaik untuk membangunkan logik pengesanan adaptif. Rangka Kerja ATT & CK Kebanyakan rangka kerja keselamatan bermula dengan apa yang salah selepas fakta. MITRE ATT&CK bermula dengan bagaimana perkara-perkara yang salah di tempat pertama. Dibangunkan oleh bukan keuntungan daripada (Taktika, Teknik dan Pengetahuan Bersama) ialah pangkalan pengetahuan hidup mengenai tingkah laku penyerang dunia sebenar. Peta taktik (mengapa) dan teknik (bagaimana) yang digunakan oleh lawan dalam pelbagai peringkat pencerobohan. Syarikat MITRE ATT&CK ATT & CK Matrix dalam talian Alih-alih memberi tumpuan kepada tanda tangan malware atau penunjuk statik, ia menekankan tingkah laku yang boleh dilihat, taktik penyerang seperti mendapatkan akses, meningkatkan hak istimewa, pergerakan lateral, atau pencerobohan data. Sebagai contoh, rangka kerja ini menerangkan bagaimana Kumpulan ancaman yang dikaitkan dengan pelbagai operasi mata-mata, kerap menyalahgunakan pengesahan sah untuk menggabungkan ke dalam trafik rangkaian biasa.Dengan memaparkan pengesanan kepada teknik yang sama, pasukan boleh mendedahkan titik buta yang alat berasaskan tanda tangan semata-mata hilang. APT29 (Anak Beruang yang Bersemangat) Model tingkah laku ini membantu pasukan keselamatan dan kejuruteraan bercakap bahasa yang dikongsi. seorang analis SOC yang menyiasat perintah PowerShell boleh tag sebagai T1059.001 (Pengantar Perintah dan Scripting: PowerShell), manakala seorang jurutera awan yang meninjau log IAM mungkin merujuk kepada T1078 (Akun sah). Setiap teknik termasuk definisi, idea pengesanan, dan rujukan kepada insiden yang dikonfirmasi, menjadikan ATT&CK sama praktikal untuk kejuruteraan pengesanan seperti ia untuk respons insiden. Kekuatan ATT & CK terletak dalam evolusi berterusan, menggabungkan kecerdasan ancaman baru-baru ini, pemerhatian, dan input masyarakat untuk mencerminkan tingkah laku penyerang semasa. Dunia sebenar ATT&CK Hari ini, setiap platform keselamatan utama mengklaim “integrasi MITRE ATT&CK”: Splunk, Microsoft Sentinel, Palo Alto Networks, Sumo Logic, dan Check Point. Mereka semua menawarkan papan panduan yang memaparkan pengesanan kepada taktik dan teknik ATT&CK. Tetapi tidak semua papan panduan adalah sama. Sesetengah menyediakan hanya lapisan permukaan, matriks berwarna-warni yang kelihatan mengesankan tetapi tidak menunjukkan apa yang boleh dideteksi dalam persekitaran anda. yang lain memaparkan hanya satu atau dua sumber data, meninggalkan jurang kelihatan. Untuk artikel ini, kami akan menggunakan Sumo Logic sebagai contoh jenis alat yang anda boleh gunakan untuk memaparkan pengesanan kepada teknik ATT&CK. bukannya hanya memaparkan matriks ATT&CK, ia menghubungkan titik-titik antara peraturan pengesanan sebenar anda dan teknik-teknik yang mereka memaparkan kepada. ia menganalisis kandungan keselamatan anda, termasuk peraturan korelasi, pola log, dan pengesanan-seperti-kode. dan ia membina model visual cakupan pertahanan anda di seluruh taktik dan teknik ATT&CK di seluruh kandungan ini. Ancaman Penutup Explorer Dengan menggabungkan alat yang betul dengan ATT&Ck, anda boleh: 
 
 
 
 
 Lihat teknik ATT&CK yang sebenarnya anda boleh mendeteksi. alih-alih bergantung kepada lalai pembekal, anda boleh menilai pengesanan anda dan memaparkan mereka kepada TTP ATT&CK yang berkaitan. Lakukan analisis jurang dan perbandingan rakan sebaya.Anda boleh membandingkan cakupan anda terhadap rakan sebaya industri pada kedua-dua tahap teknikal dan teknologi.Apakah pengesanan anda kuat pada akses pengesahan (TA0006) tetapi lemah pada pergerakan lateral (TA0008)?Anda akan melihatnya segera. Tag peraturan tersuai dengan teknik ATT & CK. jurutera pengesanan boleh label peraturan korelasi dengan ID ATT & CK tertentu seperti T1055 for Process Injection atau T1552.001 for Unsecured Credentials in Files, membolehkan pustaka kandungan anda untuk memaparkan ke kerangka kerja secara automatik. Anda boleh melihat peta panas yang menunjukkan teknik mana yang sepenuhnya, sebahagiannya, atau tidak diliputi. Anda boleh menggerudi ke bawah daripada ringkasan taktik kepada peraturan, kejadian, dan sumber data. Ia lebih daripada papan panduan – ia merupakan pandangan yang boleh dilakukan mengenai kematangan pengesanan anda. Pendekatan ini mengubah ATT & CK daripada rangka kerja teori kepada peta operasi hidup. Bayangkan satu senario di mana log anda menangkap penyalahgunaan akreditasi (T1078) tetapi melepaskan mekanisme persistensi seperti tugas yang dijadualkan (T1053). Ia mendedahkan titik buta itu sebelum penyerang boleh mengeksploitasi ia. Dan kerana ia mengemas kini secara dinamik apabila peraturan atau kandungan anda berkembang, ia menjadi sebahagian daripada aliran kerja kejuruteraan pengesanan berterusan anda daripada penilaian satu kali. Menggunakan ATT&CK untuk SecOps yang lebih baik Kuasa sebenar MITRE ATT&CK tidak terletak dalam taksonomi. Pada asasnya, taksonomi ATT&CK adalah skim untuk tingkah laku lawan. Setiap taktik adalah seperti tahap dalam aliran kerja penyerang, manakala setiap teknik menggambarkan pelaksanaan tertentu langkah itu. Ia merupakan struktur bagaimana serangan berkembang, didasarkan pada bukti empiris daripada pencerobohan sebenar bukannya model teori. Ramai organisasi menghabiskan hari-hari mereka mengejar amaran. Setiap pengesanan diperlakukan sebagai satu peristiwa terpencil bukannya satu langkah dalam narasi yang lebih besar. ATT & CK membalikkan pemikiran itu. Dengan memaparkan aktiviti kepada taktik dan teknik lawan yang diketahui, pasukan mula berfikir seperti penyerang dan dengan itu meramalkan apa yang akan datang seterusnya bukannya menunggu amaran lain untuk memberitahu mereka. Apabila digabungkan dengan alat yang betul, pemikiran ini menjadi beroperasi.Anda boleh menguji hipotesis (“Jika seorang penyerang mendapat akses awal melalui phishing, adakah kita akan melihat pergerakan lateral mereka?”), mengesahkan logik pengesanan, dan terus mengukur peningkatan dari masa ke masa. Oleh kerana ATT & CK berkembang seperti lawan, logik pengesanan anda juga boleh berkembang. teknik baru muncul dalam bingkai kerana mereka diamati di alam liar, memberi jurutera permulaan untuk mengemas kini peraturan korelasi, papan panduan, dan buku kerja automatik sebelum taktik tersebut muncul dalam persekitaran pengeluaran. Dengan ATT & CK sebagai blueprint anda dan alat yang betul sebagai lensa anda, pasukan anda boleh bergerak daripada bertindak balas kepada amaran ke arah meramalkan tingkah laku penyerang.Ini adalah perbezaan antara terkejut oleh pelanggaran dan mengesan sebelum ia menjadi satu. MITRE ATT&CK ialah blueprint anda Keselamatan bukan tentang membina dinding yang lebih tinggi; ia adalah tentang memahami bagaimana penyerang bergerak di dalamnya. kali seterusnya yang 2:17 petang peringatan kebakaran, ia tidak perlu berakhir dengan "Monitoring." Dengan MITRE ATT&CK sebagai blueprint anda dan alat yang betul sebagai lensa anda, isyarat yang sama menjadi konteks, bukan kekacauan. anda akan tahu apa tingkah laku yang penting, di mana pertahanan anda berdiri, dan bagaimana untuk memperkuat mereka sebelum penyerang boleh menyesuaikan. Bersama-sama, mereka mengubah keselamatan daripada pengurusan bunyi reaktiv ke dalam kitaran pembelajaran berterusan dan pertahanan proaktif, itulah sebabnya ATT&CK terus bekerja dalam amalan, bukan hanya dalam teori. Mempunyai hari yang benar-benar hebat!

This story contains new, firsthand information uncovered by the writer.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Mengapa kerangka kerja MITRE ATT&CK benar-benar berfungsi

About Author

KOMEN

GANTUNG TANDA

ARTIKEL INI DIBENTANGKAN DALAM

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps