Pemetaan ke MITRE ATT&CK

MITRE ATT&CK adalah basis pengetahuan tentang perilaku lawan di dunia nyata, yang diatur ke dalam taktik (alasannya) dan teknik (caranya). Pemetaan deteksi ke ATT&CK memberikan setiap aturan label bersama yang terstruktur.

Manfaatnya:

• Mengukur cakupan terhadap perilaku lawan yang diketahui
• Mengomunikasikan temuan dengan kosakata bersama
• Memprioritaskan kesenjangan berdasarkan relevansinya dengan model ancaman Anda
• Mengorelasikan peringatan di sepanjang rantai serangan

ATT&CK memiliki tiga tingkatan bertingkat:

• Taktik — tujuan lawan, misalnya Akses Kredensial (TA0006)
• Teknik — metode untuk mencapainya, misalnya Pembuangan Kredensial OS (T1003)
• Subteknik — varian tertentu, misalnya Memori LSASS (T1003.001)

Lakukan pemetaan sespesifik mungkin sesuai dukungan logika deteksi Anda. Aturan yang mendeteksi akses LSASS harus diberi tag T1003.001, bukan hanya T1003.

ID teknik mengikuti pola tetap. Huruf T ditambah empat digit menunjukkan teknik; akhiran yang dipisahkan titik menunjukkan subteknik.

Sigma menyimpan referensi ATT&CK dalam bidang tags menggunakan konvensi huruf kecil. Taktik menggunakan nama taktik; teknik menggunakan ID bertitik.

Lakukan pemetaan berdasarkan hal yang benar-benar dibuktikan oleh log, bukan berdasarkan dugaan Anda. Perintah PowerShell yang dikodekan membuktikan T1059.001 (PowerShell) dan sering kali T1027 (Berkas atau Informasi yang Disamarkan). Perintah tersebut tidak dengan sendirinya membuktikan tujuannya.

Hindari pemberian tag secara berlebihan. Setiap tag harus dapat dipertanggungjawabkan hanya dari logika deteksi, atau peninjau tidak akan memercayai angka cakupan Anda.

ATT&CK mendefinisikan sumber data dan komponen data yang menjadi sarana pengamatan setiap teknik. Hal ini menjembatani gagasan deteksi dengan telemetri yang harus Anda kumpulkan.

Untuk T1003.001 (Memori LSASS), komponen yang relevan mencakup:

• Proses: Eksekusi API OS
• Proses: Akses Proses
• Berkas: Akses Berkas

Jika Anda tidak memiliki telemetri yang mendasari suatu teknik, tidak ada aturan yang dapat mencakupnya. Petakan sumber data untuk menemukan kesenjangan pengumpulan, bukan hanya kesenjangan aturan.

Menggabungkan tag aturan Anda menghasilkan tampilan cakupan di seluruh matriks ATT&CK. ATT&CK Navigator menampilkannya sebagai peta panas berwarna.

Anda dapat membuat lapisan Navigator dari tag Sigma secara terprogram dan menampilkannya di atas matriks untuk melihat teknik yang tercakup, tercakup sebagian, dan tidak tercakup secara sekilas.

Cakupan seluruh matriks tidak mungkin dicapai dan juga tidak berguna. Prioritaskan berdasarkan intelijen ancaman: teknik apa yang benar-benar digunakan oleh kelompok yang menargetkan sektor Anda?

Halaman kelompok ATT&CK, misalnya APT29 dan FIN7, mencantumkan teknik terkait. Tumpangkan teknik yang digunakan oleh lawan paling relevan bagi Anda, lalu tutup kesenjangan deteksi di sana terlebih dahulu. Inilah inti pertahanan berbasis ancaman.

Satu aturan tipis untuk setiap teknik menciptakan keyakinan palsu. Lawan mengubah prosedur dalam suatu teknik, sehingga cakupan yang kuat berarti beberapa deteksi yang beragam untuk teknik berprioritas tinggi.

Lacak keduanya:

• Keluasan — berapa banyak teknik yang Anda cakup
• Kedalaman — berapa banyak deteksi berbeda dan sulit dihindari untuk setiap teknik

Teknik dengan satu aturan yang mudah dilewati tidak boleh dihitung sama dengan teknik yang memiliki deteksi perilaku berlapis.

ATT&CK memiliki versi dan terus berkembang: teknik ditambahkan, diberi nama ulang, ditinggalkan, atau disusun ulang menjadi subteknik di berbagai rilis. Tag yang usang dapat diam-diam merusak tampilan cakupan Anda.

• Tetapkan versi ATT&CK yang menjadi target tag Anda
• Tinjau pemetaan ketika rilis ATT&CK baru diterbitkan
• Migrasikan ID yang ditinggalkan, misalnya ketika suatu teknik dipecah menjadi subteknik
• Validasi tag dalam integrasi berkelanjutan terhadap kumpulan data ATT&CK terkini

Memperlakukan pemetaan sebagai metadata yang terus diperbarui menjaga kejujuran metrik cakupan dari waktu ke waktu.

Karena peringatan memiliki tag taktik, Anda dapat mengorelasikannya menjadi sebuah narasi. Urutan Akses Awal, lalu Eksekusi, kemudian Akses Kredensial, dan terakhir Pergerakan Lateral pada host yang sama menceritakan kejadian dengan jauh lebih kuat daripada satu peringatan saja.

Pemetaan memungkinkan penyusunan ini: aturan SOAR atau aturan korelasi dapat meningkatkan tingkat keparahan ketika beberapa taktik terpicu terhadap entitas yang sama dalam jendela waktu tertentu.

Uji penilaian Anda dalam pemetaan ATT&CK.

Memetakan deteksi ke MITRE ATT&CK mengubah aturan menjadi cakupan yang dapat diukur:

• ATT&CK menyusun taktik, teknik, dan subteknik secara bertingkat
• Beri tag pada aturan Sigma melalui tags (attack.tactic, attack.tXXXX.YYY)
• Lakukan pemetaan ke tingkat yang paling spesifik dan dapat dipertanggungjawabkan
• Sumber/komponen data mengungkapkan kesenjangan pengumpulan, bukan hanya kesenjangan aturan
• Peta panas Navigator memvisualisasikan cakupan
• Prioritaskan dengan intelijen ancaman tentang kelompok yang relevan
• Kejar kedalaman (deteksi yang beragam) pada teknik prioritas, bukan hanya keluasan
• Tag taktik memungkinkan korelasi rantai serangan

Selanjutnya: pengujian dan penyetelan agar deteksi tersebut tetap dapat dipercaya.