Wat is het Mitre Att&ck Framework?
ATT&CK geeft informatie over gedrag en taxonomie voor vijandige acties in de levenscyclus van bedreigingen, waardoor informatie over bedreigingen en beveiligingsactiviteiten/-architectuur wordt verbeterd.
Het ATT&CK-framework bestaat uit twee delen: ATT&CK for Enterprise, een gedetailleerde kennisdatabase over gedrag gericht tegen IT-netwerken en cloud van bedrijven, en ATT&CK for Mobile, voor gedrag gericht tegen mobiele apparaten.
De "Pijnpiramide" is een weergave van de soorten indicatoren van compromissen (IOC's) - de piramide meet het mogelijke nut van informatie over dreigingen en richt zich op incidentrespons en de jacht op bedreigingen.
Triviaal - hashwaarden
Een hashwaarde wordt gegenereerd door algoritmen zoals MD5 en SHA en vertegenwoordigt een specifiek schadelijk bestand. Hashes bieden specifieke verwijzingen naar malware en verdachte bestanden die door aanvallers worden gebruikt voor de inbraak.
Gemakkelijk - IP-adres
IP-adressen zijn een van de fundamentele indicatoren van een kwaadaardige bron van een aanval, maar het is mogelijk om een IP-adres te gebruiken met behulp van een proxyservice en het IP-adres regelmatig te wijzigen.
Eenvoudig - domeinnamen
Er kan een domeinnaam of zelfs een type subdomein zijn dat is geregistreerd, betaald en gehost. Maar er zijn veel DNS-serviceproviders die zeer relaxte registratienormen hebben.
Vervelend - netwerk-/host-artefacten
Netwerkartefacten zijn activiteiten die een kwaadwillende gebruiker kunnen identificeren en onderscheiden van een legitieme gebruiker. Een standaard manier kan zijn: URI-patroon of C2-informatie ingesloten in netwerkprotocollen.
Hostartefacten zijn waarneembare oorzaken die worden veroorzaakt door vijandige activiteiten op een host die schadelijke activiteiten identificeert en deze onderscheidt van legitieme activiteiten. Dergelijke id's omvatten registersleutels of waarden waarvan bekend is dat ze door malware zijn gemaakt, of bestanden/mappen die in bepaalde gebieden zijn verwijderd.
Uitdagend - tools
Hulpprogramma's zijn meestal soorten software die een aanvaller tegen u zal gebruiken. Dit kan ook een reeks tools zijn die worden meegeleverd voor interactie met bestaande code of software. Hulpprogramma's omvatten hulpprogramma's die schadelijke documenten voor spearphishing maken, backdoors die C2- of wachtwoordkrakers tot stand brengen, of andere hulpprogramma's die in gevaar kunnen komen.
Zwaar! - TTP's
Tactieken, technieken en procedures bevinden zich boven aan de piramide. Dit is het volledige proces van de manier waarop een aanvaller zijn missie volbrengt, van de eerste onderzoeksfase tot de exfiltratie van de gegevens en alles daartussenin.
Bedreiging Intel
De verdediging wordt op basis van potentiële bedreigingen geïnformeerd. Technieken worden ook geprioriteerd op basis van gemeenschappelijke kenmerken tussen groepen en een hiaat-analyse van de huidige verdediging tegen veelvoorkomende bedreigingen.
Detectie en analyse
Paarse teaming, gegevensbronnen, testen, aangepaste analyse en OOB-analyse.
Emulatie van vijand
Communicatie met het blauwe team, het rode team varieerde het gedrag, de emulatie van de vijand op basis van CTI en de atoomtechniektests.
Beoordeling en engineering
Beoordeel hiaten in de dekking op basis van gebruik in de praktijk en prioriteer risicobeperkingen en investeringen, zoals enkelvoudige techniek, beperkingen en getrouwheid voor meerdere technieken.
Aan de slag met de respons op beveiligingsincidenten
MITRE ATT&CK biedt bedrijven de mogelijkheid om de Threat Intelligence- en SIR-module te gebruiken, waardoor uw incidentrespons wordt verbeterd en waardevolle bedrijfsmiddelen worden beschermd.