Alarmi fillon në orën 2:17. Ju e konsideroni veten me fat që ky është në pasdite, jo në mëngjes.Ju hiqni atë që po bëni, hapni konsolën dhe filloni të gërmoni. Oh, një rritje e konsiderueshme në trafikun e daljes nga një nyje Kubernetes. Një llogari e privilegjuar e shërbimit që autentifikon nga një IP e panjohur. Hmm, disa kërkesa DNS duken ... të çuditshme, por jo kaq të çuditshme. Ju pivot nëpër dashboards, gjurmoni burimin në SIEM tuaj, kontrolloni ditarët e re, kërkoni të dhënat e identitetit, dhe madje edhe tërhiqni ditarët e kontejnerëve. Asgjë përfundimtare. Asnjë shkelje e konfirmuar. Asnjë histori e qartë po shfaqet. Ishte një ngarkesë e gabuar e punës? Një zhvillues teston një skenar të vendosjes? Një punë legjitime të automatizimit ose hapi i parë i lëvizjes anësore nga dikush tashmë brenda? Treguesit zhduken së bashku derisa nuk mund të tregoni nëse keni kapur një sulm në vazhdim ose një tjetër pozitiv të rremë në një det të zhurmës. Njëzet minuta më vonë, ju mbyllni biletën me të njëjtën shënim si i fundit: "Monitoring". Imagjinoni ta bëni këtë pesëdhjetë herë në ditë. Mbështetja rritet ndërsa kërcënimet lëvizin nëpër rrjet duke përdorur certifikata të vlefshme, duke u përzier me aktivitetin e ligjshëm, duke lënë gjurmë të paqarta. Shumë ekipe të sigurisë përballen me një realitet të ashpër: sistemet tradicionale të zbulimit kapin kërcënime të njohura të tilla si shfrytëzime të nënshkrimit, anomali dhe treguesit e dokumentuar. Por sulmuesit tani imitojnë sjelljen e përdoruesit, proceset e rrëmbimit dhe pivotin përtej rregullave të korrelimit, duke përmbytur alarmet me pak të kuptueshme. Siguria nuk duhet të jetë vetëm për të ndaluar të keqen, por për të kuptuar se si e keqja në të vërtetë ndodh. E ndërtuar nga vite kërkimi i kërcënimeve në botën reale, ajo ofron një hartë të gjallë të asaj se si kundërshtarët veprojnë, lëvizin anash dhe shfrytëzojnë sistemet hap pas hapi. Përmbledhje AT&CK Ky artikull shpjegon se si MITRE ATT&CK kalon zbulimin e kërcënimeve nga reaktiv në proaktiv, se si platformat moderne analitike e mbështesin këtë, dhe ndan praktikat më të mira për zhvillimin e logjikës së zbulimit adaptiv. ATT & CK Kornizë Shumica e kornizave të sigurisë fillojnë me atë që shkoi keq pas faktit.MITRE ATT&CK fillon me mënyrën se si gjërat shkojnë keq në vendin e parë. Zhvilluar nga jo-fitimprurës të (Taktika kundërshtare, teknikat dhe njohuritë e përbashkëta) është një bazë e dijes së gjallë e sjelljes së sulmuesit të botës reale. harton taktikat (pse) dhe teknikat (si) që kundërshtarët përdorin në faza të ndryshme të një pushtimi. Korporata Mitre ATT&CK ATT&CK në Matrix Në vend që të përqendrohet në nënshkrimet e malware ose treguesit statike, ajo thekson sjelljen e vëzhgueshme, taktikat e sulmuesit si fitimi i qasjes, përshkallëzimi i privilegjeve, lëvizja anësore ose eksfiltrimi i të dhënave. Për shembull, korniza përcakton se si , një grup kërcënimi i lidhur me operacione të shumëfishta spiunazhi, shpesh abuzon me të dhënat legjitime për t'u përzier në trafikun e rregullt të rrjetit. APT29 (Ujku i këndshëm) Ky model i sjelljes ndihmon ekipet e sigurisë dhe inxhinierisë të flasin një gjuhë të përbashkët. një analist SOC që heton një komandë PowerShell mund ta etiketojë atë si T1059.001 (Interpretues i Komandës dhe Scripting: PowerShell), ndërsa një inxhinier cloud që shqyrton ditarët e IAM mund të referohet në T1078 (Llogaritë e vlefshme). Çdo teknikë përfshin përkufizime, ide të zbulimit dhe referenca për incidente të konfirmuara, duke e bërë ATT&CK po aq praktike për inxhinierinë e zbulimit sa është për reagimin ndaj incidenteve. Forca e ATT&CK qëndron në evolucionin e saj të vazhdueshëm, duke përfshirë inteligjencën e kërcënimeve të fundit, vëzhgimet dhe hyrjet e komunitetit për të pasqyruar sjelljen aktuale të sulmuesit. Bota e vërtetë ATT&CK Sot, çdo platformë e madhe e sigurisë pretendon “integrimin e MITRE ATT&CK”: Splunk, Microsoft Sentinel, Palo Alto Networks, Sumo Logic dhe Check Point. Ata të gjithë ofrojnë bordet që hartojnë zbulimet për taktikat dhe teknikat e ATT&CK. Por jo të gjitha bordet janë të barabarta. Disa ofrojnë vetëm matricat e nivelit të sipërfaqes, me ngjyra që duken mbresëlënëse por nuk tregojnë atë që është e zbulueshme në mjedisin tuaj. Të tjerët tregojnë vetëm një ose dy burime të të dhënave, duke lënë boshllëqe të dukshmërisë. Pak ndihmojnë në krahasimin e mbulimit me taktikat e botës reale. Kjo është ku një platformë moderne analitike mund të ndihmojë. Për këtë artikull, ne do të përdorim Sumo Logic si një shembull i llojit të mjetit që mund të përdorni për të hartuar zbulimet në teknikat ATT&CK. Në vend që të shfaqni vetëm një matricë ATT&CK, ajo lidh pikët midis rregullave tuaja të vërteta të zbulimit dhe teknikave që ata hartojnë në. Ajo analizon përmbajtjen tuaj të sigurisë, duke përfshirë rregullat e korrelimit, modelet e ditarit dhe zbulimet-si-kodi. Dhe ajo ndërton një model vizual të mbulimit tuaj mbrojtës në të gjitha taktikat dhe teknikat ATT&CK në të gjithë këtë përmbajtje. Eksploratorët e kërcënimeve Duke kombinuar mjetin e duhur me ATT&Ck, ju mund të: 
 
 
 
 
 Shihni se cilat teknika ATT&CK mund të zbuloni në të vërtetë.Në vend që të mbështeteni në parazgjedhjet e furnizuesit, mund të vlerësoni zbulimet tuaja dhe t'i hartoni ato në TTP-të përkatëse të ATT&CK. Ju shihni ku keni vizibilitet dhe ku nuk jeni. Ju mund të krahasoni mbulimin tuaj me kolegët e industrisë në të dy nivelet teknike dhe teknologjike. A janë zbulimet tuaja të forta në aksesin e besueshmërisë (TA0006) por të dobëta në lëvizjen anësore (TA0008)? Inxhinierët e zbulimit mund të etiketojnë rregullat e korrelimit me ID-të specifike të ATT&CK si T1055 për injeksionin e procesit ose T1552.001 për Credentials të pasigurta në skedarë, duke lejuar bibliotekën tuaj të përmbajtjes të hartojë në kornizë automatikisht. Visualizoni mbulimin në një vështrim. Ju mund të shihni një hartë të nxehtë që tregon se cilat teknika janë plotësisht, pjesërisht ose jo të mbuluara. Ju mund të shfletoni nga përmbledhjet taktike në rregullat, ngjarjet dhe burimet e të dhënave. Kjo qasje transformon ATT&CK nga një kornizë teorike në një hartë operacionale të gjallë. Imagjinoni një skenar në të cilin logjet tuaja kapin keqpërdorimin e besimit (T1078) por humbasin mekanizmat e qëndrueshmërisë të tilla si detyrat e planifikuara (T1053). Ajo ekspozon atë pikë të verbër para se një sulmues mund ta shfrytëzojë atë. Dhe për shkak se ajo përditësohet dinamikisht si rregullat tuaja ose përmbajtja evoluon, ajo bëhet pjesë e rrjedhës tuaj të punës të inxhinierisë së zbulimit të vazhdueshëm në vend të një vlerësimi të njëkohshëm. Në të njëjtën mënyrë që ekipet e DevOps mbështeten në matjen e vëzhgimit për shëndetin e sistemit, Përdorimi i ATT&CK për një SecOps më të mirë Fuqia e vërtetë e MITRE ATT&CK nuk është në taksonominë e saj. Në thelbin e saj, taksonomia ATT&CK është një skemë e sjelljes kundërshtare. Çdo taktikë është si një fazë në rrjedhën e punës së një sulmuesi, ndërsa çdo teknikë përshkruan zbatimin specifik të atij hapi. Është një strukturë e mënyrës se si sulmet zhvillohen, bazuar në dëshmi empirike nga ndërhyrjet e vërteta në vend të modeleve teorike. Shumë organizata shpenzojnë ditët e tyre duke ndjekur paralajmërimet. Çdo zbulim trajtohet si një ngjarje e izoluar në vend të një hapi në një tregim më të madh. ATT&CK e kthen atë mentalitet. Duke hartuar aktivitetin në taktikat dhe teknikat e njohura kundërshtare, ekipet fillojnë të mendojnë si sulmuesit dhe kështu të parashikojnë se çfarë vjen më pas në vend që të presin për një paralajmërim tjetër për t'u treguar atyre. Kur kombinohet me mjetin e duhur, ky mendim bëhet operativ. Ju mund të testoni hipotezat (“Nëse një sulmues fitoi qasje fillestare përmes phishing, a do të shohim lëvizjen e tyre anësore?”), validoni logjikën e zbulimit, dhe vazhdimisht matni përmirësimet me kalimin e kohës. Teknika të reja dalin në kuadër si ata janë vëzhguar në të egra, duke i dhënë inxhinierëve një fillim të parë në përditësimin e rregullave të korrelimit, bordet dhe librat e automatizimit para se këto taktika të shfaqen në mjediset e prodhimit. Me ATT & CK si planin tuaj dhe mjetin e duhur si lente tuaj, ekipi juaj mund të kalojë nga reagimi ndaj alarmeve drejt parashikimit të sjelljes së sulmuesit. MITRE ATT&CK është Blueprint juaj Siguria nuk ka të bëjë me ndërtimin e mureve më të larta; ka të bëjë me kuptimin se si sulmuesit lëvizin brenda tyre. herën tjetër që 2:17 p.m.th. zjarret paralajmërojnë, nuk duhet të përfundojë me “Monitorimin”. Me MITRE ATT&CK si planin tuaj dhe mjetin e duhur si lente tuaj, të njëjtat sinjale bëhen kontekst, jo kaos.Ju do të dini se cilat sjellje kanë rëndësi, ku qëndrojnë mbrojtjet tuaja, dhe si t’i forconi ato para se sulmuesit të mund të përshtaten.Së bashku, ata transformojnë sigurinë nga menaxhimi reaktiv i zhurmës në një cikël të mësimit të vazhdueshëm dhe mbrojtjes proaktive, prandaj ATT&CK vazhdon të punojë në praktikë, jo vetëm në teori. Keni një ditë vërtet të mrekullueshme!

This story contains new, firsthand information uncovered by the writer.

The is an opinion piece based on the author’s POV and does not necessarily reflect the views of HackerNoon.

Pse korniza MITRE ATT&CK në të vërtetë punon

About Author

KOMENTE

VARUR TAGS

KY ARTIKU U PARAQIT NË

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps