Mapowanie ataków na mechanizmy wykrywania

MITRE ATT&CK to wyselekcjonowana baza wiedzy o taktykach, technikach i procedurach przeciwników obserwowanych w rzeczywistym świecie. Zapewnia zespołom Red i Blue wspólny słownik.

Mapowanie każdego testu i każdej detekcji do identyfikatora ATT&CK pozwala precyzyjnie odpowiedzieć na jedno pytanie: które zachowania przeciwnika rzeczywiście potrafimy obserwować?

• Taktyki = cel przeciwnika („dlaczego”)
• Techniki = sposób osiągnięcia tego celu („jak”)
• Procedury = konkretna implementacja („co”)

Każda technika ma stały identyfikator, którego używa się we wszystkich działaniach purple teamingu.

• T1059 — Command and Scripting Interpreter (technika)
• T1059.001 — PowerShell (poddziałanie)
• TA0002 — Execution (taktyka, do której należy)

Pojedyncza technika może należeć do wielu taktyk. Na przykład Valid Accounts (T1078) jednocześnie wspiera Initial Access, Persistence, Privilege Escalation i Defense Evasion.

Aby wykryć technikę, trzeba wiedzieć, jakie źródło danych pozwala ją ujawnić. ATT&CK zawiera listę źródeł danych i ich komponentów dla każdej techniki.

W przypadku wykonywania poleceń PowerShell (T1059.001) istotna telemetria obejmuje:

• rejestrowanie bloków skryptu (Event ID 4104)
• rejestrowanie modułów (Event ID 4103)
• tworzenie procesu wraz z wierszem poleceń (Event ID 4688 / Sysmon 1)

Jeśli żadne z tych danych nie są zbierane, technika stanowi gwarantowaną ślepą plamę, niezależnie od jakości reguł.

Technika jest abstrakcyjna; detekcja dotyczy konkretnych procedur. Należy wybrać realistyczną implementację, której rzeczywiście używa przeciwnik.

W przypadku T1059.001 często spotykana procedura z zakodowanym poleceniem wygląda następująco:

Po ustaleniu artefaktu należy wyrazić logikę detekcji. Opisany wcześniej przykład zakodowanego polecenia generuje zdarzenie utworzenia procesu, w którym wiersz poleceń zawiera podejrzane przełączniki.

Przykładowa pseudoreguła:

Sigma to ogólny, niezależny od dostawcy format detekcji, który można konwertować do użycia w Splunk, Elastic, Sentinel i innych systemach. Mapowanie reguł do ATT&CK pozwala śledzić pokrycie.

Fragment reguły Sigma wykrywającej podejrzany zakodowany kod PowerShell:

Dla każdej techniki objętej zakresem należy odnotować, jaka telemetria jest dostępna i czy uruchamia się detekcja. Wiersz dotyczący pokrycia przedstawia pełny obraz:

• Technika: T1059.001 PowerShell
• Dostępne źródło danych: Tak (Sysmon 1, 4104)
• Istnieje detekcja: Tak (reguła Sigma)
• Ostatnia walidacja: data testu purple team
• Wynik: Wykryto / Zarejestrowano / Ślepa plama

Ta tabela, prowadzona w narzędziu takim jak VECTR, staje się autorytatywnym rejestrem pokrycia detekcji.

Częstym błędem jest mapowanie detekcji do techniki, a następnie oparcie jej na kruchym, łatwym do obejścia artefakcie. Wykrywanie jednej konkretnej nazwy narzędzia jest podatne na obejście; wykrywanie zachowania jest odporne.

• Podatne na obejście: alert dotyczący jednej zakodowanej na stałe nazwy pliku malware
• Lepsze: alert dotyczący zachowania, np. procesu uruchamianego przez winword.exe, który uruchamia cmd.exe

Pyramid of Pain dobrze to obrazuje: hasze i nazwy plików atakujący może łatwo zmienić, natomiast zmiana TTP jest kosztowna. Detekcje należy umieszczać możliwie wysoko w piramidzie.

Rzeczywiste włamania są łańcuchami, a nie pojedynczymi zdarzeniami. Detekcja obejmująca cały łańcuch jest znacznie silniejsza niż detekcja dowolnego pojedynczego ogniwa.

Przykładowy emulowany łańcuch może wyglądać tak:

• T1566.001 Spearphishing Attachment (Initial Access)
• T1059.001 PowerShell (Execution)
• T1547.001 Registry Run Key (Persistence)
• T1003.001 LSASS Memory dumping (Credential Access)

Mapowanie każdego kroku pozwala dokładnie zobaczyć, gdzie w łańcuchu ataku zaczyna się i kończy widoczność.

Mapowanie pozostaje jedynie deklaracją, dopóki nie zostanie przetestowane. Podczas sesji purple team Red wykonuje procedurę, a Blue potwierdza, że powiązana detekcja rzeczywiście uruchamia się na powiązanym źródle danych.

• Wykonać procedurę w kontrolowanym przedziale czasowym
• Potwierdzić pojawienie się oczekiwanego identyfikatora zdarzenia w telemetrii
• Potwierdzić, że reguła generuje alert, a nie tylko log
• Odnotować datę walidacji i jej wynik

Dopiero po wykonaniu tej pętli można oznaczyć technikę jako rzeczywiście pokrytą.

ATT&CK Navigator pozwala przedstawić pokrycie jako kolorową mapę cieplną nałożoną na macierz. Kolor zielony oznacza wykrycie, żółty — samo zarejestrowanie, a czerwony — ślepą plamę.

• Wyeksportować wyniki z narzędzia śledzącego jako warstwę Navigatora
• Nałożyć na siebie wiele warstw (wyniki testów i priorytety wynikające z analizy zagrożeń)
• Udostępnić mapę cieplną kierownictwu, aby uzasadnić inwestycje

Ta wizualizacja sprawia, że abstrakcyjne pojęcie, takie jak „pokrycie detekcji”, staje się natychmiast zrozumiałe dla nietechnicznych interesariuszy.

Sprawdź zrozumienie mapowania ataków do detekcji.

Można teraz systematycznie powiązać ataki z detekcjami:

• Używać identyfikatorów ATT&CK (taktyki, techniki, podtechniki) jako wspólnego języka
• Identyfikować źródło danych, które ujawnia każdą technikę
• Wybierać realistyczną procedurę, a następnie tworzyć logikę opartą na zachowaniu
• Wyrażać przenośne reguły w formacie Sigma i oznaczać je identyfikatorem techniki
• Celować wysoko w Pyramid of Pain, aby unikać kruchych detekcji
• Walidować każde mapowanie na żywo, a następnie wizualizować pokrycie w Navigatorze

Następnie należy zaplanować i przeprowadzić pełne ćwiczenie purple team.