MITRE ATT&CK ile Eşleme

MITRE ATT&CK, taktikler (neden) ve teknikler (nasıl) şeklinde düzenlenmiş, gerçek dünyadaki saldırgan davranışlarına ilişkin bir bilgi tabanıdır. Tespitleri ATT&CK ile eşleştirmek, her kurala ortak ve yapılandırılmış bir etiket kazandırır.

Faydaları:

• Kapsamı bilinen saldırgan davranışlarına göre ölçmek
• Bulguları ortak bir sözcük dağarcığıyla iletmek
• Boşluklara tehdit modelinizle ilgilerine göre öncelik vermek
• Uyarıları saldırı zinciri boyunca ilişkilendirmek

ATT&CK'te iç içe geçmiş üç düzey bulunur:

• Taktik — saldırganın amacı, ör. Kimlik Bilgilerine Erişim (TA0006)
• Teknik — bu amaca ulaşma yöntemi, ör. OS Kimlik Bilgisi Dökümü (T1003)
• Alt teknik — belirli bir varyant, ör. LSASS Belleği (T1003.001)

Tespit mantığınızın desteklediği ölçüde özgül eşleştirme yapın. LSASS erişimini tespit eden bir kural yalnızca T1003 yerine T1003.001 ile etiketlenmelidir.

Teknik ID'leri sabit bir örüntüyü izler. Dört basamağın önündeki T bir tekniği, noktalı bir son ek ise alt tekniği belirtir.

Sigma, ATT&CK başvurularını tags alanında küçük harf kullanımıyla taşır. Taktiklerde taktik adı, tekniklerde ise noktalı ID kullanılır.

Eşleştirmeyi, şüphelendiğiniz şeye göre değil, günlüğün gerçekten kanıtladığı şeye göre yapın. Kodlanmış bir PowerShell komutu, T1059.001 (PowerShell) ve çoğu zaman T1027 (Gizlenmiş Dosyalar veya Bilgiler) için kanıt oluşturur. Tek başına hedefi kanıtlamaz.

Gereğinden fazla etiket kullanmaktan kaçının. Her etiket yalnızca tespit mantığından savunulabilir olmalıdır; aksi hâlde bir incelemeci kapsam ölçümlerinize güvenmez.

ATT&CK, her tekniğin hangi veri kaynakları ve veri bileşenleri aracılığıyla gözlemlenebileceğini tanımlar. Bu, tespit fikirlerini toplamanız gereken telemetriyle ilişkilendirir.

T1003.001 (LSASS Memory) için ilgili bileşenler şunları içerir:

• İşlem: OS API Yürütme
• İşlem: İşlem Erişimi
• Dosya: Dosya Erişimi

Bir tekniğin dayandığı telemetriye sahip değilseniz hiçbir kural onu kapsayamaz. Yalnızca kural boşluklarını değil, toplama boşluklarını da bulmak için veri kaynaklarını eşleştirin.

Kurallarınızın etiketlerini toplamak, ATT&CK matrisi genelinde bir kapsam görünümü oluşturur. ATT&CK Navigator bunu renkli bir ısı haritası olarak görüntüler.

Sigma etiketlerinizden program aracılığıyla bir Navigator katmanı oluşturabilir ve bunu matrise bindirerek kapsanan, kısmen kapsanan ve kapsanmayan teknikleri bir bakışta görebilirsiniz.

Tam matris kapsamına ulaşmak ne mümkündür ne de yararlıdır. Tehdit istihbaratına göre önceliklendirin: sektörünüzü hedefleyen gruplar gerçekte hangi teknikleri kullanıyor?

ATT&CK grup sayfaları (ör. APT29, FIN7), ilişkili teknikleri listeler. En ilgili saldırganlarınızın kullandığı teknikleri matrise bindirin ve tespit boşluklarını önce burada kapatın. Tehdit bilgisine dayalı savunmanın özü budur.

Her teknik için tek ve yüzeysel bir kural oluşturmak sahte bir güven duygusu yaratır. Saldırganlar bir teknik içindeki uygulama yöntemlerini değiştirir; bu nedenle sağlam bir kapsam, önceliği yüksek teknikler için birden çok ve çeşitli tespit anlamına gelir.

Her ikisini de izleyin:

• Genişlik — kaç tekniğe dokunduğunuz
• Derinlik — her teknik için kaç farklı ve kaçınmaya dayanıklı tespit bulunduğu

Kolayca atlatılabilen tek bir kurala sahip bir teknik, katmanlı davranışsal tespitlere sahip bir teknikle aynı şekilde sayılmamalıdır.

ATT&CK sürümlüdür ve gelişir: sürümler boyunca teknikler eklenir, yeniden adlandırılır, kullanımdan kaldırılır veya alt teknikler hâlinde yeniden yapılandırılır. Güncel olmayan etiketler kapsam görünümünüzü sessizce bozar.

• Etiketlerinizin hedeflediği ATT&CK sürümünü sabitleyin
• Yeni bir ATT&CK sürümü yayımlandığında eşleştirmeleri inceleyin
• Kullanımdan kaldırılan tanımlayıcıları taşıyın (ör. bir teknik alt tekniklere ayrıldığında)
• Etiketleri sürekli tümleştirmede güncel ATT&CK veri kümesine karşı doğrulayın

Eşleştirmeleri sürekli güncellenen meta veriler olarak ele almak, kapsam ölçümlerinin zaman içinde güvenilir kalmasını sağlar.

Uyarılar taktik etiketleri taşıdığından bunları bir anlatı hâlinde ilişkilendirebilirsiniz. Aynı ana bilgisayarda İlk Erişim, ardından Yürütme, ardından Kimlik Bilgilerine Erişim ve son olarak Yanal Hareket sırasının görülmesi, tek bir uyarıdan çok daha güçlü bir tablo sunar.

Eşleştirme bu birleştirmeyi mümkün kılar: bir SOAR veya korelasyon kuralı, bir zaman aralığı içinde aynı varlığa karşı birden çok taktik tetiklendiğinde önem derecesini yükseltebilir.

ATT&CK eşleştirme konusundaki muhakemenizi sınayın.

Tespitleri MITRE ATT&CK ile eşleştirmek, kuralları ölçülebilir kapsama dönüştürür:

• ATT&CK, taktikleri, teknikleri ve alt teknikleri iç içe düzenler
• Sigma kurallarını tags aracılığıyla etiketleyin (attack.tactic, attack.tXXXX.YYY)
• En özgül ve savunulabilir düzeye eşleştirin
• Veri kaynakları ve bileşenleri, yalnızca kural boşluklarını değil, toplama boşluklarını da ortaya çıkarır
• Navigator ısı haritaları kapsamı görselleştirir
• İlgili gruplara dair tehdit istihbaratıyla önceliklendirin
• Yalnızca genişliği değil, öncelikli tekniklerde derinliği (çeşitli tespitleri) artırın
• Taktik etiketleri saldırı zinciri korelasyonunu mümkün kılar

Sonraki adım: bu tespitleri güvenilir tutmak için test etme ve ayarlama.