Mapowanie na MITRE ATT&CK

MITRE ATT&CK to baza wiedzy o zachowaniach przeciwników w rzeczywistym świecie, uporządkowana według taktyk (dlaczego) i technik (jak). Mapowanie detekcji do ATT&CK nadaje każdej regule wspólną, ustrukturyzowaną etykietę.

Korzyści:

• Pomiar pokrycia względem znanych zachowań przeciwników
• Przekazywanie ustaleń za pomocą wspólnego słownictwa
• Priorytetyzowanie luk według ich znaczenia dla modelu zagrożeń
• Korelacja alertów wzdłuż łańcucha ataku

ATT&CK ma trzy zagnieżdżone poziomy:

• Taktyka — cel przeciwnika, np. Credential Access (TA0006)
• Technika — metoda osiągnięcia tego celu, np. OS Credential Dumping (T1003)
• Podtechnika — konkretny wariant, np. LSASS Memory (T1003.001)

Należy mapować tak szczegółowo, jak pozwala na to logika detekcji. Regułę wykrywającą dostęp do LSASS należy oznaczyć tagiem T1003.001, a nie tylko T1003.

Identyfikatory technik mają stały format. Litera T i cztery cyfry oznaczają technikę, a przyrostek oddzielony kropką oznacza podtechnikę.

Sigma przechowuje odwołania do ATT&CK w polu tags, używając konwencji zapisu małymi literami. W przypadku taktyk stosuje się nazwę taktyki, a w przypadku technik — identyfikator z kropką.

Mapowanie należy oprzeć na tym, co log rzeczywiście potwierdza, a nie na tym, co Pan/Pani podejrzewa. Zakodowane polecenie PowerShell świadczy o użyciu T1059.001 (PowerShell) i często także T1027 (Obfuscated Files or Information). Samo w sobie nie potwierdza jednak celu działania.

Należy unikać nadmiernego oznaczania. Każdy tag powinien dać się uzasadnić wyłącznie na podstawie logiki detekcji, w przeciwnym razie osoby dokonujące przeglądu nie będą ufać danym o pokryciu.

ATT&CK definiuje źródła danych i komponenty danych, za pomocą których można obserwować poszczególne techniki. Łączy to pomysły na detekcje z telemetrią, którą należy gromadzić.

W przypadku T1003.001 (LSASS Memory) odpowiednie komponenty obejmują:

• Process: OS API Execution
• Process: Process Access
• File: File Access

Jeśli nie dysponuje się telemetrią potrzebną do obserwacji danej techniki, żadna reguła nie zapewni jej pokrycia. Należy mapować źródła danych, aby znajdować luki w gromadzeniu danych, a nie tylko luki w regułach.

Zagregowanie tagów reguł daje widok pokrycia w całej macierzy ATT&CK. ATT&CK Navigator przedstawia go jako kolorową mapę cieplną.

Można programowo wygenerować warstwę Navigatora na podstawie tagów Sigma i nałożyć ją na macierz, aby od razu zobaczyć techniki objęte pełnym lub częściowym pokryciem oraz techniki nieobjęte pokryciem.

Pełne pokrycie macierzy jest niemożliwe do osiągnięcia i nie byłoby użyteczne. Priorytety należy ustalać na podstawie analizy zagrożeń: które techniki rzeczywiście stosują grupy atakujące dany sektor?

Strony grup w ATT&CK (np. APT29, FIN7) wymieniają powiązane techniki. Należy nałożyć techniki stosowane przez najistotniejszych przeciwników, a następnie w pierwszej kolejności zamknąć luki w detekcjach dotyczące tych technik. Na tym właśnie polega obrona oparta na analizie zagrożeń.

Jedna prosta reguła na technikę tworzy fałszywe poczucie bezpieczeństwa. Przeciwnicy zmieniają procedury w ramach jednej techniki, dlatego solidne pokrycie oznacza wiele różnorodnych detekcji dla technik o wysokim priorytecie.

Należy śledzić oba wymiary:

• Szerokość — ile technik obejmują detekcje
• Głębokość — ile odrębnych, odpornych na obejście detekcji przypada na jedną technikę

Techniki z jedną regułą, którą można łatwo ominąć, nie należy traktować tak samo jak techniki z warstwowymi detekcjami behawioralnymi.

ATT&CK jest wersjonowany i ewoluuje: w kolejnych wydaniach techniki są dodawane, zmieniane, wycofywane lub restrukturyzowane w podtechniki. Nieaktualne tagi po cichu zniekształcają widok pokrycia.

• Należy przypiąć wersję ATT&CK, do której odnoszą się tagi
• Należy przeglądać mapowania po opublikowaniu nowego wydania ATT&CK
• Należy migrować wycofane identyfikatory (np. gdy technika zostaje podzielona na podtechniki)
• Należy walidować tagi w CI względem aktualnego zbioru danych ATT&CK

Traktowanie mapowań jako żywych metadanych pozwala zachować rzetelność metryk pokrycia w czasie.

Ponieważ alerty zawierają tagi taktyk, można połączyć je w spójną narrację. Sekwencja uzyskania dostępu początkowego, wykonania, dostępu do danych uwierzytelniających, a następnie ruchu bocznego na tym samym hoście przedstawia znacznie silniejszy obraz niż pojedynczy alert.

Mapowanie umożliwia takie łączenie: system SOAR lub reguła korelacji może podnieść poziom ważności, gdy wiele taktyk zostanie uruchomionych wobec tego samego obiektu w określonym oknie czasowym.

Mapowanie detekcji do MITRE ATT&CK zmienia reguły w mierzalne pokrycie:

• ATT&CK obejmuje hierarchię taktyk, technik i podtechnik
• Reguły Sigma oznacza się za pomocą pola tags (attack.tactic, attack.tXXXX.YYY)
• Należy mapować na najbardziej szczegółowym poziomie, który można uzasadnić
• Źródła i komponenty danych ujawniają luki w gromadzeniu danych, a nie tylko luki w regułach
• Mapy cieplne Navigatora wizualizują pokrycie
• Priorytety należy ustalać na podstawie analizy zagrożeń dotyczącej istotnych grup
• Należy dążyć do głębokości (różnorodnych detekcji) w przypadku technik priorytetowych, a nie tylko do szerokości
• Tagi taktyk umożliwiają korelację w łańcuchu ataku

Następnie zajmiemy się testowaniem i dostrajaniem, aby detekcje pozostały wiarygodne.