Сопоставление атак с механизмами обнаружения

MITRE ATT&CK — это тщательно отобранная база знаний о тактиках, техниках и процедурах противника, наблюдавшихся в реальном мире. Она даёт красной и синей командам общий словарь.

Сопоставление каждой проверки и каждого обнаружения с идентификатором ATT&CK позволяет точно ответить на один вопрос: какие действия противника мы действительно можем увидеть?

• Тактики = цель противника («зачем»)
• Техники = способ достижения цели («как»)
• Процедуры = конкретная реализация («что»)

У каждой техники есть устойчивый идентификатор, который Вы будете использовать во всех процессах работы пурпурной команды.

• T1059 — Интерпретатор команд и скриптов (техника)
• T1059.001 — PowerShell (подтехника)
• TA0002 — Выполнение (тактика, к которой он относится)

Одна техника может относиться сразу к нескольким тактикам. Например, действительные учётные записи (T1078) одновременно поддерживают первоначальный доступ, закрепление, повышение привилегий и уклонение от защиты.

Чтобы обнаружить технику, необходимо знать, какой источник данных позволяет её увидеть. ATT&CK перечисляет источники данных и компоненты для каждой техники.

Для выполнения PowerShell (T1059.001) важна следующая телеметрия:

• Журналирование блоков скриптов (ID события 4104)
• Журналирование модулей (ID события 4103)
• Создание процесса с командной строкой (ID события 4688 / Сисмон 1)

Если ни один из этих источников не собирается, техника гарантированно останется слепой зоной, независимо от качества Ваших правил.

Техника — это абстракция, а обнаруживать нужно конкретные процедуры. Выбирайте реалистичную реализацию, которую действительно использует противник.

Для T1059.001 распространённая процедура с закодированной командой выглядит так:

Определив артефакт, Вы формулируете логику обнаружения. Приведённый выше пример с закодированной командой создаёт событие создания процесса, в командной строке которого содержатся подозрительные флаги.

Псевдоправило для него:

Сигма — это универсальный формат обнаружения, независимый от поставщика, который преобразуется в правила для Спланка, Эластика, Сентинела и других систем. Сопоставление правил с ATT&CK позволяет отслеживать охват.

Фрагмент Сигма для подозрительного PowerShell с закодированной командой:

Для каждой техники в области применения записывайте, какая телеметрия доступна и срабатывает ли обнаружение. Одна строка охвата отражает всю картину:

• Техника: T1059.001 PowerShell
• Источник данных доступен: да (Сисмон 1, 4104)
• Обнаружение существует: да (правило Сигма)
• Последняя проверка: дата проверки пурпурной команды
• Результат: обнаружено / зарегистрировано / слепая зона

Эта таблица, которую можно вести в таком инструменте, как VECTR, становится официальной записью об охвате обнаружения.

Распространённая ошибка — сопоставить обнаружение с техникой, но построить его на хрупком и легко обходящемся артефакте. Обнаружение одного конкретного имени инструмента неустойчиво, а обнаружение поведения надёжно.

• Неустойчиво: создавать оповещение об одном жёстко заданном имени файла вредоносной программы
• Лучше: создавать оповещение о поведении, например о запуске процесса из winword.exe в cmd.exe

Пирамида боли отражает эту идею: хеши и имена файлов атакующему легко изменить, тогда как тактики, техники и процедуры требуют значительных затрат. Стремитесь строить обнаружения на верхних уровнях пирамиды.

Реальные вторжения представляют собой цепочки, а не отдельные события. Обнаружение всей цепочки значительно надёжнее обнаружения любого одного звена.

Эмулируемая цепочка может выглядеть так:

• T1566.001 Фишинговое вложение (первоначальный доступ)
• T1059.001 PowerShell (выполнение)
• T1547.001 Ключ запуска реестра (закрепление)
• T1003.001 Снятие дампа памяти LSASS (доступ к учётным данным)

Сопоставление каждого шага позволяет точно увидеть, где в цепочке атаки начинается и заканчивается Ваша видимость.

Сопоставление остаётся лишь утверждением, пока оно не проверено. Во время сеанса пурпурной команды красная команда выполняет процедуру, а синяя команда подтверждает, что сопоставленное обнаружение действительно срабатывает на сопоставленном источнике данных.

• Выполните процедуру в контролируемое временное окно
• Убедитесь, что ожидаемый ID события появился в телеметрии
• Убедитесь, что правило создаёт оповещение, а не только запись в журнале
• Запишите дату проверки и результат

Только после этого цикла можно считать технику действительно охваченной.

Навигатор ATT&CK позволяет представить охват в виде цветной тепловой карты поверх матрицы. Зелёный цвет означает обнаружение, жёлтый — только регистрацию, красный — слепые зоны.

• Экспортируйте результаты из инструмента отслеживания в виде слоя Навигатора
• Наложите несколько слоёв: проверенные результаты и приоритеты разведки угроз
• Поделитесь тепловой картой с руководством, чтобы обосновать инвестиции

Эта визуализация делает такое абстрактное понятие, как «охват обнаружения», сразу понятным для нетехнических заинтересованных сторон.

Проверьте, насколько Вы поняли сопоставление атак с обнаружениями.

Теперь Вы умеете системно сопоставлять атаки с обнаружениями:

• Используйте идентификаторы ATT&CK — тактики, техники и подтехники — как общий язык
• Определяйте источник данных, который раскрывает каждую технику
• Выбирайте реалистичную процедуру, а затем формулируйте логику на основе поведения
• Описывайте переносимые правила в формате Сигма и отмечайте их соответствующей техникой
• Стремитесь к верхним уровням Пирамиды боли, чтобы избежать неустойчивых обнаружений
• Проверяйте каждое сопоставление в реальном режиме, а затем визуализируйте охват в Навигаторе

Далее Вы спланируете и проведёте настоящее упражнение пурпурной команды от начала до конца.