Фреймворк MITRE ATT&CK для обнаружения и реагирования

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) — это общедоступная во всём мире база знаний о тактиках и методах злоумышленников, созданная на основе наблюдений за реальными угрозами. База поддерживается некоммерческой корпорацией MITRE и организована в виде матрицы: сверху расположены тактики (цели злоумышленника), а в строках — техники (методы достижения этих целей). ATT&CK — это не контрольный список и не платформа соответствия требованиям, а описательная модель поведения реальных злоумышленников, основанная на отчётах об инцидентах, аналитике угроз и учениях красных команд. Она стала общепринятым языком индустрии информационной безопасности для описания поведения злоумышленников.

Корпоративная матрица ATT&CK содержит 14 тактик, отражающих цели злоумышленника высокого уровня: разведка, подготовка ресурсов, первоначальный доступ, выполнение, закрепление, повышение привилегий, обход защиты, доступ к учётным данным, обнаружение, боковое перемещение, сбор, Command and Control, извлечение данных и воздействие. Каждая тактика включает несколько техник (конкретных методов), а многие техники имеют субтехники для более детального описания. Например, тактика закрепления включает технику T1053 (запланированная задача или задание) с субтехниками для планировщика задач Windows, cron и облачных планировщиков.

ATT&CK включает базу данных Groups, в которой собраны известные группы злоумышленников (например, APT28, APT41, Lazarus Group и Sandworm) и указаны конкретные техники, применение которых наблюдалось у каждой группы. Это позволяет специалистам по защите спросить: «Мы работаем в отрасли, которую атакует APT41. Какие известные техники этой группы мы пока не обнаруживаем?» ATT&CK также содержит сведения о Software (конкретных вредоносных инструментах, таких как Cobalt Strike, Mimikatz и Empire) и связывает их с реализуемыми ими техниками. Благодаря этому аналитики могут быстро понять возможности вредоносной программы, обнаруженной во время инцидента, найдя её в базе данных программного обеспечения ATT&CK.

ATT&CK Navigator — это веб-инструмент, который отображает матрицу ATT&CK и позволяет командам выделять техники цветом в зависимости от охвата обнаружения, использования злоумышленниками или результатов проверки. Распространённые варианты применения: охват красной команды — отметка техник, успешно проверенных в ходе учений красной команды; охват обнаружения — отметка техник, для которых развернуты правила SIEM или средства обнаружения EDR; наложение профиля злоумышленника — импорт профиля злоумышленника для выделения всех техник, связанных с определённой группой APT, и немедленного выявления техник, для которых у Вас нет обнаружения. Navigator создаёт анализ пробелов, показывающий, где в Вашей защите есть слепые зоны.

ATT&CK обеспечивает структурированную охоту за угрозами, предлагая конкретные гипотезы: вместо поиска «подозрительной активности» специалисты спрашивают: «Есть ли в нашей среде признаки T1003.001 (OS Credential Dumping: LSASS Memory)?» Каждая техника ATT&CK содержит рекомендации по обнаружению с перечнем конкретных источников данных (события процессов, журналы событий Windows, сетевой трафик, изменения реестра) и индикаторов, которые следует искать. Это превращает расплывчатую интуицию специалиста по поиску угроз в конкретные запросы к данным, которые можно написать в Splunk, KQL (Microsoft Sentinel) или Elastic. Команды по поиску угроз документируют результаты и устраняют пробелы, создавая правила обнаружения для техник, для которых ранее не существовало покрытия.

Во время инцидента и после него сопоставление действий злоумышленника с техниками ATT&CK дает несколько преимуществ: ясность коммуникации — вместо описания действий злоумышленника в произвольных терминах аналитики используют стандартизированные идентификаторы техник, понятные любому специалисту по безопасности; восстановление временной шкалы — порядок тактик ATT&CK отражает последовательность этапов атаки и помогает организовать свидетельства в хронологическом порядке; обмен данными о киберугрозах — IoCs и TTPs с метками ATT&CK можно передавать другим организациям и ISAC в машиночитаемом виде через форматы STIX/TAXII; и улучшение обнаружения — каждая сопоставленная техника, для которой ранее не было обнаружения, становится кандидатом для нового правила SIEM или покрытия EDR.

Планы имитации действий противника используют ATT&CK для разработки учений красных команд, воспроизводящих конкретные TTPs известной группы угроз. MITRE бесплатно предоставляет планы имитации действий противника для таких групп, как APT3, APT29 и FIN6, с пошаговым описанием процедур, соответствующих их поведению в реальном мире. Такие инструменты, как CALDERA (автоматизированная платформа MITRE для имитации действий противника), Atomic Red Team (переносимые сценарии тестирования одной техники) и Кобальтовый удар (коммерческая система управления и контроля красной команды), позволяют выполнять техники ATT&CK в контролируемой среде. Результаты непосредственно показывают, какие техники обходят существующие средства обнаружения.

Разработка обнаружения использует ATT&CK для систематического создания правил обнаружения. Для каждой техники ATT&CK перечисляет: источники данных, необходимые для ее обнаружения (журналы событий Windows, события Sysmon, сетевые журналы, телеметрия EDR); индикаторы обнаружения (конкретные имена процессов, шаблоны командных строк, пути в реестре); и потенциальные ложные срабатывания. Правило обнаружения должно быть сопоставлено с конкретным идентификатором техники ATT&CK, чтобы можно было отслеживать покрытие. Такие поставщики, как Splunk (обновление содержимого ES), Эластик (правила обнаружения SIEM) и Sigma (универсальный формат правил, не зависящий от платформы), публикуют правила обнаружения, сопоставленные с ATT&CK, которые можно развертывать и адаптировать.

MITRE расширила ATT&CK за пределы корпоративной IT-среды, включив дополнительные среды: ATT&CK для ICS (промышленных систем управления) — охватывает SCADA, PLC и среды OT, на которые нацелены такие угрозы, как Industroyer и TRITON; ATT&CK для мобильных устройств — охватывает техники атак на Android и iOS, включая техники использования вредоносных приложений, фишинг через SMS и эксплуатацию уязвимостей мобильных устройств. Каждая матрица адаптирована к уникальной архитектуре и угрозам своей среды. Кандидатам на Security+ следует знать о существовании этих матриц и понимать, что ATT&CK — это развивающаяся и поддерживаемая платформа, которая ежеквартально обновляется новыми техниками, обнаруженными в реальных атаках.

Матрица MITRE ATT&CK и киберцепочка атаки Lockheed Martin служат связанным, но различным целям. Киберцепочка атаки состоит из 7 высокоуровневых этапов — от разведки до действий по достижению целей — и хорошо подходит для общего повествовательного описания кампании атаки. ATT&CK включает 14 тактик и сотни конкретных техник и под-техник, поэтому она значительно более детализирована и практична для защитников, создающих правила обнаружения. На практике многие организации используют обе платформы: киберцепочку атаки — для общения с руководством и описания кампании в целом, а ATT&CK — для технической разработки обнаружения и анализа пробелов. Security+ предполагает понимание обеих платформ.

Во время активного реагирования на инцидент ATT&CK ускоряет расследование, подсказывая, что искать дальше. Если Вы подтвердили T1059.001 (выполнение PowerShell), ATT&CK указывает распространенные последующие техники: T1105 (Ingress Tool Transfer — загрузка дополнительных инструментов), T1003 (Credential Dumping — следующий этап после выполнения) и T1071 (Application Layer Protocol C2 — подключение PowerShell к инфраструктуре злоумышленника). Это формирует расследование на основе гипотез: подтвержденная техника A указывает на технику B; Вы ищете B, и если находите ее, это подтверждает модель атаки и подсказывает технику C. Благодаря этому расследования становятся быстрее и систематичнее, чем при неограниченном исследовании данных.

Проверьте свое понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что MITRE ATT&CK организует поведение противника в 14 тактик и сотни техник и под-техник на основе наблюдений из реального мира и служит отраслевым стандартом для описания TTPs злоумышленников; ATT&CK Navigator позволяет наглядно анализировать пробелы, накладывая профили субъектов угроз на данные о Вашем покрытии обнаружения, чтобы определить приоритеты; а ATT&CK помогает разрабатывать средства обнаружения, охотиться за угрозами и реагировать на инциденты, предоставляя конкретные источники данных, индикаторы и рекомендации по последовательному применению техник. Далее мы рассмотрим разделы экзамена SY0-701 и их весовые коэффициенты для подготовки к сертификации.