Сопоставление с MITRE ATT&CK

MITRE ATT&CK — это база знаний о поведении злоумышленников в реальном мире, организованная по тактикам (зачем) и техникам (как). Сопоставление обнаружений с ATT&CK даёт каждому правилу общую структурированную метку.

Преимущества:

• Измерять охват относительно известных действий злоумышленников
• Представлять результаты с помощью общего словаря
• Расставлять приоритеты для пробелов с учётом Вашей модели угроз
• Связывать оповещения по цепочке атаки

ATT&CK имеет три вложенных уровня:

• Тактика — цель злоумышленника, например доступ к учетным данным (TA0006)
• Техника — способ достижения этой цели, например извлечение учетных данных из OS (T1003)
• Подтехника — конкретный вариант, например память LSASS (T1003.001)

Выполняйте сопоставление настолько точно, насколько позволяет логика обнаружения. Правило, обнаруживающее доступ к LSASS, следует помечать как T1003.001, а не просто как T1003.

ID техник имеют фиксированный формат. Буква T и четыре цифры обозначают технику, а суффикс с точкой — подтехнику.

Sigma хранит ссылки на ATT&CK в поле tags, используя соглашение о строчных буквах. Для тактик используется название тактики, а для техник — ID с точками.

Выполняйте сопоставление на основании того, что журнал действительно подтверждает, а не Ваших предположений. Закодированная команда PowerShell свидетельствует о T1059.001 (PowerShell) и часто о T1027 (обфускация файлов или информации). Сама по себе она не подтверждает цель атаки.

Не добавляйте лишние теги. Каждый тег должен быть обоснован только логикой обнаружения, иначе проверяющий не будет доверять показателям охвата.

ATT&CK определяет источники данных и компоненты данных, через которые можно наблюдать каждую технику. Это связывает идеи обнаружения с телеметрией, которую необходимо собирать.

Для T1003.001 (память LSASS) важны следующие компоненты:

• Процесс: выполнение через API OS
• Процесс: доступ к процессам
• Файл: доступ к файлам

Если у Вас нет телеметрии, лежащей в основе техники, никакое правило не сможет её охватить. Сопоставляйте источники данных, чтобы находить пробелы в сборе данных, а не только пробелы в правилах.

Объединение тегов Ваших правил создаёт представление об охвате по всей матрице ATT&CK. ATT&CK Navigator отображает его в виде цветной тепловой карты.

Вы можете программно создать слой Navigator из тегов Sigma и наложить его на матрицу, чтобы сразу увидеть охваченные, частично охваченные и неохваченные техники.

Полный охват матрицы недостижим и бесполезен. Расставляйте приоритеты на основе аналитики угроз: какие техники на самом деле используют группы, атакующие Ваш сектор?

Страницы групп ATT&CK, например APT29 и FIN7, содержат список связанных с ними техник. Наложите техники, используемые наиболее актуальными для Вас злоумышленниками, а затем в первую очередь устраняйте пробелы в обнаружении именно там. В этом и заключается суть защиты с учетом угроз.

Одно поверхностное правило на каждую технику создаёт ложное чувство уверенности. В рамках одной техники злоумышленники используют разные процедуры, поэтому надежный охват означает наличие нескольких разнообразных правил обнаружения для техник с высоким приоритетом.

Отслеживайте оба показателя:

• Широта — сколько техник Вы охватываете
• Глубина — сколько разных устойчивых к обходу правил обнаружения приходится на каждую технику

Технику с одним легко обходимым правилом не следует считать равнозначной технике с многоуровневыми поведенческими правилами обнаружения.

ATT&CK имеет версии и развивается: в разных выпусках техники добавляются, переименовываются, объявляются устаревшими или преобразуются в подтехники. Устаревшие теги незаметно искажают представление об охвате.

• Зафиксируйте версию ATT&CK, на которую рассчитаны Ваши теги
• Проверяйте сопоставления при выходе новой версии ATT&CK
• Переносите устаревшие ID, например когда техника разделяется на подтехники
• Проверяйте теги в непрерывной интеграции по текущему набору данных ATT&CK

Если считать сопоставления постоянно обновляемыми метаданными, показатели охвата со временем останутся достоверными.

Поскольку оповещения содержат теги тактик, Вы можете объединять их в единую картину. Последовательность первоначального доступа, выполнения, доступа к учетным данным и горизонтального перемещения на одном узле рассказывает намного более убедительную историю, чем любое отдельное оповещение.

Сопоставление позволяет выстроить такую последовательность: правило SOAR или правило корреляции может повысить уровень серьезности, когда несколько тактик срабатывают для одного объекта в течение заданного интервала.

Проверьте, насколько верно Вы умеете выполнять сопоставление с ATT&CK.

Сопоставление обнаружений с MITRE ATT&CK превращает правила в измеримый охват:

• ATT&CK объединяет в иерархию тактики, техники и подтехники
• Добавляйте теги к правилам Sigma через tags (attack.tactic, attack.tXXXX.YYY)
• Выполняйте сопоставление с наиболее конкретным обоснованным уровнем
• Источники и компоненты данных выявляют пробелы в сборе данных, а не только пробелы в правилах
• Тепловые карты Navigator визуализируют охват
• Расставляйте приоритеты с помощью аналитики угроз для актуальных групп
• Развивайте глубину (разнообразные правила обнаружения) для приоритетных техник, а не только широту
• Теги тактик обеспечивают корреляцию по цепочке атаки

Далее: тестирование и настройка, чтобы эти правила обнаружения оставались надежными.