Framework MITRE ATT&CK

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) è una base di conoscenza sul comportamento reale degli avversari. Fornisce un linguaggio comune per descrivere gli attacchi, organizzare il rilevamento e misurare la copertura della sicurezza.

ATT&CK organizza il comportamento degli avversari in: Tattiche (il PERCHÉ — gli obiettivi dell'attaccante), Tecniche (il COME) e Sottotecniche (varianti specifiche di implementazione).

T1059 (Command and Scripting Interpreter) è una tecnica generale. Le sottotecniche specificano l'interprete: T1059.001 (PowerShell), T1059.003 (Windows Command Shell), T1059.007 (JavaScript).

ATT&CK Navigator è uno strumento web per visualizzare la matrice ATT&CK. Assegni un colore alle tecniche in base a: copertura del rilevamento (verde), lacune (rosso) e sovrapposizione degli attori della minaccia (arancione). È essenziale per l'analisi delle lacune.

ATT&CK include profili di oltre 100 gruppi di minacce denominati (APT28, Lazarus, FIN7), con l'elenco delle tecniche utilizzate da ciascun gruppo. Il confronto con i principali attori della minaccia che prendono di mira il settore di appartenenza rivela le lacune di rilevamento più importanti.

Per ogni tecnica, ATT&CK fornisce indicazioni per il rilevamento: quali origini dati raccogliere, che cosa cercare e quali strumenti utilizzare. Utilizzi queste indicazioni per creare sistematicamente librerie di regole di rilevamento.

I Red Team utilizzano ATT&CK per garantire simulazioni realistiche degli attacchi: pianificano attività che coprono tattiche specifiche, utilizzano tecniche associate agli attori della minaccia noti che prendono di mira il settore di appartenenza e riportano i risultati associandoli agli ID delle tecniche.

I Blue Team utilizzano ATT&CK per: dare priorità allo sviluppo delle regole di rilevamento, valutare la copertura del rilevamento tramite Navigator, associare gli alert del SIEM agli ID delle tecniche e misurare i progressi nel tempo.

ATT&CK dispone di matrici per diversi ambiti: Enterprise (Windows/Linux/macOS/cloud), Mobile (iOS/Android) e ICS (Industrial Control Systems). Selezioni la matrice corrispondente al Suo ambiente.

MITRE D3FEND è la controparte difensiva di ATT&CK: associa le tecniche difensive (isolare, rilevare, rafforzare) alle tecniche offensive di ATT&CK che contrastano. Utilizzi entrambe per un'architettura di sicurezza completa.

Renda ATT&CK parte del flusso di lavoro standard: associ un tag con gli ID delle tecniche agli alert del SIEM, richieda che i report dei Red Team includano la mappatura ATT&CK, utilizzi gli ID delle tecniche nei ticket relativi alle vulnerabilità e monitori mensilmente le metriche di copertura.

Che cosa aiuta i team di sicurezza a visualizzare ATT&CK Navigator?

ATT&CK è il linguaggio comune delle moderne attività di sicurezza. Mappi i Suoi rilevamenti, individui le lacune, stabilisca le priorità in base agli attori della minaccia che prendono di mira il Suo settore e utilizzi Navigator per comunicare la copertura ai responsabili aziendali. Ogni alert del SOC dovrebbe essere associato a un ID di tecnica: questo trasforma i singoli alert in un quadro strategico del comportamento degli avversari nel Suo ambiente.