Framework MITRE ATT&CK do wykrywania i reagowania

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) to ogólnodostępna globalna baza wiedzy o rzeczywistych taktykach i technikach stosowanych przez przeciwników, oparta na zaobserwowanych informacjach o zagrożeniach. Jest utrzymywana przez organizację non-profit MITRE Corporation i zorganizowana w formie macierzy, w której u góry znajdują się taktyki (cele atakującego), a w wierszach techniki (metody służące do osiągania tych celów). ATT&CK nie jest listą kontrolną ani strukturą zgodności — to opisowy model rzeczywistych zachowań atakujących, opracowany na podstawie raportów z incydentów, informacji o zagrożeniach i ćwiczeń zespołów red team. Stał się wspólnym językiem branży bezpieczeństwa do opisywania zachowań atakujących.

Macierz ATT&CK Enterprise zawiera 14 taktyk reprezentujących cele atakującego na wysokim poziomie: rozpoznanie, rozwój zasobów, dostęp początkowy, wykonanie, utrzymanie dostępu, eskalacja uprawnień, unikanie mechanizmów obronnych, uzyskiwanie poświadczeń, rozpoznawanie środowiska, ruch boczny, gromadzenie danych, dowodzenie i kontrola, eksfiltracja oraz wpływ. Każda taktyka obejmuje wiele technik (konkretnych metod), a wiele technik ma także podtechniki zapewniające bardziej szczegółowy opis. Na przykład taktyka utrzymania dostępu zawiera technikę T1053 (Scheduled Task/Job) z podtechnikami dotyczącymi Harmonogramu zadań systemu Windows, cron i harmonogramów chmurowych.

ATT&CK zawiera bazę danych Groups, w której katalogowane są znane grupy aktorów zagrażających (np. APT28, APT41, Lazarus Group, Sandworm) wraz z technikami, których użycie zaobserwowano w przypadku każdej z nich. Pozwala to obrońcom zadać pytanie: „Działamy w branży będącej celem grupy APT41 — których znanych technik tej grupy jeszcze nie wykrywamy?”. ATT&CK kataloguje również Software (konkretne narzędzia złośliwego oprogramowania, takie jak Cobalt Strike, Mimikatz i Empire) oraz techniki, które te narzędzia implementują. Dzięki temu analitycy mogą szybko zrozumieć możliwości złośliwego oprogramowania wykrytego podczas incydentu, wyszukując je w bazie oprogramowania ATT&CK.

ATT&CK Navigator to narzędzie internetowe, które wyświetla macierz ATT&CK i umożliwia zespołom oznaczanie technik kolorami na podstawie pokrycia wykrywania, wykorzystania przez aktorów zagrażających lub wyników testów. Typowe zastosowania obejmują: pokrycie testami red team — oznaczanie technik, które pomyślnie przetestowano podczas ćwiczenia red team; pokrycie wykrywania — oznaczanie technik, dla których wdrożono reguły SIEM lub mechanizmy wykrywania EDR; nakładkę aktora zagrażającego — importowanie profilu aktora zagrażającego w celu wyróżnienia wszystkich technik powiązanych z konkretną grupą APT i natychmiastowego sprawdzenia, których z nich nie wykrywają Państwo. Navigator tworzy analizę luk wskazującą obszary, w których zabezpieczenia mają ślepe punkty.

ATT&CK wspiera uporządkowane polowanie na zagrożenia, dostarczając konkretnych hipotez: zamiast szukać „podejrzanej aktywności”, zespoły pytają: „Czy w naszym środowisku występują oznaki T1003.001 (OS Credential Dumping: LSASS Memory)?”. Każda technika ATT&CK zawiera wskazówki dotyczące wykrywania, w których wymieniono konkretne źródła danych (zdarzenia procesów, dzienniki zdarzeń systemu Windows, ruch sieciowy, modyfikacje rejestru) oraz wskaźniki, których należy szukać. Dzięki temu nieprecyzyjne przeczucia związane z polowaniem na zagrożenia można przekształcić w konkretne zapytania do danych, które można zapisać w Splunk, KQL (Microsoft Sentinel) lub Elastic. Zespoły zajmujące się polowaniem na zagrożenia dokumentują wyniki i uzupełniają luki, tworząc reguły wykrywania dla technik, dla których nie istniało dotąd żadne pokrycie.

Podczas incydentu i po jego zakończeniu mapowanie działań atakującego na techniki ATT&CK przynosi kilka korzyści: przejrzystość komunikacji — zamiast opisywać działania atakującego za pomocą doraźnych określeń, analitycy używają ustandaryzowanych identyfikatorów technik, zrozumiałych dla każdego specjalisty ds. bezpieczeństwa; odtworzenie osi czasu — kolejność taktyk ATT&CK odzwierciedla łańcuch ataku, pomagając uporządkować dowody chronologicznie; udostępnianie informacji o zagrożeniach — IoC i TTP oznaczone za pomocą ATT&CK można udostępniać innym organizacjom i ISAC w formatach STIX/TAXII, w postaci czytelnej maszynowo; oraz usprawnianie wykrywania — każda zmapowana technika, dla której wcześniej nie było mechanizmu wykrywania, staje się kandydatem do utworzenia nowej reguły SIEM lub objęcia ochroną EDR.

Plany emulacji przeciwnika wykorzystują ATT&CK do projektowania ćwiczeń zespołów Red Team, które odtwarzają konkretne TTP znanej grupy zagrożeń. MITRE udostępnia bezpłatne plany emulacji przeciwnika dla grup takich jak APT3, APT29 i FIN6, szczegółowo opisując procedury krok po kroku, zgodne z ich rzeczywistym sposobem działania. Narzędzia takie jak CALDERA (zautomatyzowana platforma MITRE do emulacji przeciwnika), Atomic Red Team (przenośne skrypty testowe dla pojedynczych technik) oraz Cobalt Strike (komercyjna platforma C2 dla zespołów Red Team) umożliwiają wykonywanie technik ATT&CK w kontrolowanym środowisku. Wyniki bezpośrednio pokazują, które techniki omijają istniejące mechanizmy wykrywania.

Inżynieria wykrywania wykorzystuje ATT&CK do systematycznego tworzenia reguł wykrywania. Dla każdej techniki ATT&CK zawiera: źródła danych wymagane do jej wykrycia (dzienniki zdarzeń systemu Windows, zdarzenia Sysmon, dzienniki sieciowe, dane telemetryczne EDR), wskaźniki wykrywania (konkretne nazwy procesów, wzorce wiersza poleceń, ścieżki rejestru) oraz potencjalne fałszywe alarmy. Reguła wykrywania powinna być przypisana do konkretnego identyfikatora techniki ATT&CK, aby można było śledzić pokrycie. Dostawcy tacy jak Splunk (ES Content Update), Elastic (reguły wykrywania SIEM) i Sigma (niezależny od platformy format reguł) publikują reguły wykrywania przypisane do ATT&CK, które można wdrażać i dostosowywać.

MITRE rozszerzyło ATT&CK poza firmowe środowiska IT, obejmując dodatkowe środowiska: ATT&CK for ICS (Industrial Control Systems) — obejmujące systemy SCADA, sterowniki PLC i środowiska OT, będące celem zagrożeń takich jak Industroyer i TRITON; ATT&CK for Mobile — obejmujące techniki ataków na systemy Android i iOS, w tym techniki wykorzystywane przez złośliwe aplikacje, phishing SMS oraz wykorzystywanie podatności urządzeń mobilnych. Każda macierz jest dostosowana do unikalnej architektury i zagrożeń danego środowiska. Osoby przygotowujące się do egzaminu Security+ powinny wiedzieć o istnieniu tych macierzy i rozumieć, że ATT&CK jest rozwijanym i utrzymywanym frameworkiem, aktualizowanym co kwartał o nowe techniki odkrywane w rzeczywistych atakach.

Macierz MITRE ATT&CK i Lockheed Martin Cyber Kill Chain służą podobnym, ale różnym celom. Kill Chain obejmuje 7 faz wysokiego poziomu (od Reconnaissance po Actions on Objectives) i dobrze nadaje się do ogólnego, narracyjnego opisywania kampanii ataków. ATT&CK obejmuje 14 taktyk oraz setki szczegółowych technik i podtechnik, dzięki czemu jest znacznie bardziej szczegółowym i praktycznym narzędziem dla obrońców tworzących reguły wykrywania. W praktyce wiele organizacji korzysta z obu frameworków: Kill Chain do komunikacji z kadrą kierowniczą i opisywania kampanii na wysokim poziomie, a ATT&CK do technicznej inżynierii wykrywania i analizy luk w zabezpieczeniach. Egzamin Security+ wymaga zrozumienia obu frameworków.

Podczas aktywnego reagowania na incydent ATT&CK przyspiesza dochodzenie, podpowiadając czego szukać w następnej kolejności. Jeśli potwierdzili Państwo wykonanie T1059.001 (PowerShell execution), ATT&CK wskazuje typowe techniki następcze: T1105 (Ingress Tool Transfer — pobieranie dodatkowych narzędzi), T1003 (Credential Dumping — kolejny krok po wykonaniu) oraz T1071 (Application Layer Protocol C2 — nawiązywanie przez PowerShell połączenia z infrastrukturą atakującego). Tworzy to dochodzenie oparte na hipotezach: potwierdzona technika A sugeruje technikę B; należy szukać B, a jeśli zostanie znaleziona, potwierdzi ona wzorzec ataku i zasugeruje technikę C. Dzięki temu dochodzenia są szybsze i bardziej uporządkowane niż nieukierunkowana eksploracja danych.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: MITRE ATT&CK porządkuje zachowania przeciwników w 14 taktykach oraz setkach technik i podtechnik, opierając się na obserwacjach rzeczywistych ataków i stanowiąc branżowy standard opisywania TTP atakujących; ATT&CK Navigator umożliwia wizualną analizę luk, nakładając profile aktorów zagrożeń na pokrycie wykrywania w Państwa organizacji, aby pomóc ustalić priorytety rozwoju; a ATT&CK wspiera inżynierię wykrywania, polowanie na zagrożenia i reagowanie na incydenty, dostarczając konkretnych źródeł danych, wskaźników oraz sugestii dotyczących łączenia technik. W dalszej części omówimy domeny egzaminu SY0-701 i ich wagi, aby przygotować Państwa do certyfikacji.