Bedrohungsabdeckung überwachen (MITRE)

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie das MITRE ATT&CK-Matrix-Dashboard in Google Security Operations verwenden. Die Matrix hilft Ihnen, den Sicherheitsstatus Ihrer Organisation im Vergleich zum MITRE ATT&CK-Framework zu verstehen. Außerdem können Sie damit Lücken in Ihrer Bedrohungsabdeckung finden und Ihre Sicherheitsaufgaben priorisieren.

Taktiken und Techniken verstehen

Im MITRE ATT&CK-Framework werden die folgenden grundlegenden Konzepte verwendet, um das Verhalten von Angreifern zu kategorisieren.

  • Taktik: Übergeordnetes Ziel, das ein Angreifer erreichen möchte. Zu den gängigen Taktiken gehören beispielsweise Initial Access (Eindringen in das Netzwerk), Persistence (Verbleiben im Netzwerk) und Exfiltration (Datendiebstahl).

  • Technik: Die spezifische Methode, die zum Erreichen einer Taktik verwendet wird. Ein Angreifer könnte beispielsweise die Technik Phishing verwenden, um die Taktik Initial Access zu erreichen. Für jede Taktik gibt es verschiedene Techniken, die ein Angreifer verwenden könnte.

  • Untertechnik: Eine Untertechnik bietet eine genauere Beschreibung der Ausführung einer Technik. Sie beschreibt den Prozess oder Mechanismus, mit dem das Ziel einer Taktik erreicht werden soll. Beispiel: Spearphishing Attachment und Spearphishing Link sind Untertechniken der Technik Phishing.

Die folgenden Taktiken werden in der MITRE ATT&CK-Matrix angezeigt:

MITRE ATT&CK-Taktik Beschreibung
Sammlung Daten erfassen
Command and Control Kontrollierte Systeme kontaktieren.
Zugriff auf Anmeldedaten Anmeldedaten und Passwörter stehlen
Umgehung von Abwehrmaßnahmen Entdeckung vermeiden.
Discovery Umgebung erforschen
Ausführung Schädlichen Code ausführen
Exfiltration Daten stehlen
Auswirkungen Systeme und Daten manipulieren, unterbrechen oder zerstören
Anfänglicher Zugriff Zugriff auf Ihre Umgebung erhalten
Seitliche Bewegung In der Umgebung bewegen
Persistenz Position behaupten.
Rechteausweitung Berechtigungen auf höherer Ebene erlangen
Ausspähen Informationen sammeln, die für zukünftige böswillige Aktionen genutzt werden können Diese Taktik wird nur in der Matrix angezeigt, wenn die Plattform PRE in Ihren Nutzereinstellungen ausgewählt ist.
Ressourcenentwicklung Ressourcen zur Unterstützung bösartiger Vorgänge einrichten. Diese Taktik wird nur in der Matrix angezeigt, wenn die Plattform PRE in Ihren Nutzereinstellungen ausgewählt ist.

Gängige Anwendungsfälle

In diesem Abschnitt werden einige gängige Anwendungsfälle für die Verwendung der MITRE ATT&CK-Matrix aufgeführt.

Neue Erkennungsmöglichkeiten identifizieren

  • Ziel: Als Sicherheitsanalyst möchten Sie den Sicherheitsstatus Ihres Unternehmens proaktiv verbessern, indem Sie die Abdeckung der Erkennungsregeln erweitern.

  • Aufgabe: Bereiche finden, in denen Sie die erforderlichen Daten zum Erstellen neuer Erkennungen haben, aber keine Regeln vorhanden sind.

  • Schritte:

    1. Öffnen Sie die MITRE ATT&CK-Matrix.

    2. Suchen Sie in der Matrix nach Technikkarten, die eine niedrige oder keine Regelanzahl aufweisen.

    3. Suchen Sie eine Technikkarte, auf der „0 Regeln“ angezeigt wird, aber verfügbare Logtypen aufgeführt sind.

    4. Klicken Sie auf die Karte, um den Bereich mit den Technikdetails zu öffnen.

    5. Prüfen Sie die Liste der Logquellen, um sicherzustellen, dass es sich um zuverlässige Datenfeeds mit hohem Volumen handelt.

  • Ergebnis: Eine wertvolle Erkennungsmöglichkeit identifizieren. Sie wissen, dass Sie die richtigen Daten zur Erkennung dieser Technik aufnehmen, und können jetzt eine neue Regel erstellen, um diese Abdeckungslücke zu schließen.

Auf eine neue Bedrohungswarnung reagieren

  • Ziel: Die Cybersecurity and Infrastructure Security Agency (CISA) gibt eine Warnung zu einer neuen Ransomware heraus, die Ihre Branche angreift.

  • Aufgabe: Als Detection Engineer müssen Sie wissen, ob Ihre aktuellen Sicherheitsregeln die spezifischen Taktiken, Techniken und Verfahren (TTPs) dieser neuen Bedrohung erkennen können.

  • Schritte:

    1. Öffnen Sie die MITRE ATT&CK-Matrix.

    2. Filtern Sie die Matrix, um die in der CISA-Warnung erwähnten Techniken hervorzuheben (z. B. T1486: Data Encrypted for Impact, T1059.001: PowerShell).

    3. Sehen Sie sich die Matrix an. Sie stellen fest, dass PowerShell gut abgedeckt ist, Data Encrypted for Impact jedoch eine kritische Lücke mit „Keine Abdeckung“ darstellt.

  • Ergebnis: Sie finden eine Sicherheitslücke mit hoher Priorität in Ihren Abwehrmaßnahmen. Sie können jetzt eine neue Erkennungsregel erstellen, um das Ransomware-Verhalten abzudecken.

Vorhandene Erkennungen optimieren und verbessern

  • Ziel: Nach einem kürzlich aufgetretenen Sicherheitsvorfall müssen Sie als Security Engineer die Qualität der ausgelösten Erkennungen verbessern.

  • Aufgabe: Sie möchten alle Datenpunkte für eine bestimmte Technik sehen. So können Sie entscheiden, ob Ihre vorhandenen Regeln die besten Datenquellen und die beste Logik verwenden.

  • Schritte:

    1. Öffnen Sie die Matrix und klicken Sie auf die Technik T1003: OS Credential Dumping.

    2. In der Ansicht Details werden die beiden Regeln für diese Technik angezeigt.

    3. Beide Regeln verwenden ältere Befehlszeilenlogs. Das Datenquellen-Widget zeigt jedoch, dass das neue EDR-Tool für diese Technik Daten mit höherer Qualität liefert.

  • Ergebnis: Sie finden eine klare Möglichkeit, die Erkennungsqualität zu verbessern. Sie können jetzt eine neue, robustere Regel mit den EDR-Daten erstellen. Dies führt zu weniger falsch positiven Ergebnissen und einer besseren Chance, komplexe Angriffe mit Credential Dumping zu erkennen.

Hinweis

Damit Ihre benutzerdefinierten Regeln in der Matrix angezeigt und bei der Bedrohungsabdeckung berücksichtigt werden, müssen Sie sie einer oder mehreren MITRE ATT&CK-Techniken zuordnen.

Fügen Sie dazu dem Abschnitt metadata der Regel einen technique-Schlüssel hinzu. Der Wert muss eine gültige MITRE ATT&CK-Technik-ID oder mehrere IDs als kommagetrennter String sein.

Beispiel: metadata: technique="T1548,T1134.001"

Neue Regeln werden innerhalb weniger Minuten in der Matrix angezeigt.

Auf die MITRE ATT&CK-Matrix zugreifen

So greifen Sie auf die MITRE ATT&CK-Matrix zu:

  1. Melden Sie sich in Google SecOps an.

  2. Klicken Sie im Navigationsmenü auf Erkennung > Regeln und Erkennungen.

  3. Rufen Sie den Tab MITRE ATT&CK Matrix auf.

Die MITRE ATT&CK-Matrix wird angezeigt.

MITRE ATT&CK-Matrix verwenden

In der Matrix werden MITRE ATT&CK-Taktiken als Spalten und Techniken als Karten in diesen Spalten angezeigt. Jede Technikkarte ist farbcodiert, um den aktuellen Status und die Tiefe Ihrer Erkennungsabdeckung für diese Technik anzugeben.

Auf den Karten für die Techniken sehen Sie Folgendes:

Untertechnikanzeigen: Die kleinen, farbigen Anzeigen stellen die zugehörigen Untertechniken dar. Die Farbe der einzelnen Indikatoren entspricht der Anzahl der Regeln für diese Untertechnik. Halten Sie den Mauszeiger über einen Indikator, um seinen Namen zu sehen.

Umschaltfläche für Untertechniken: Wenn Sie die Hauptmatrix vereinfachen und die visuelle Darstellung übersichtlicher gestalten möchten, öffnen Sie das Menü Ansichtsoptionen und entfernen Sie das Häkchen aus dem Kästchen Untertechniken anzeigen.

Anzahl der Logtypen: Zeigt die Logtypen an, die mit dem Verfahren verknüpft sind. Wenn eine Technik keine Regeln hat, kann auf der Technikkarte die Anzahl der zugehörigen Logtypen angezeigt werden (z. B. „7 Logtypen“). Dies weist auf eine Erkennungsmöglichkeit hin und zeigt, dass Sie die erforderlichen Daten haben, um Regeln für diese Technik zu erstellen.

Abdeckungsberechnung verfeinern

Wenn Sie die Abdeckungsberechnung verfeinern möchten, verwenden Sie die Listen für Regeltyp, Livestatus und Benachrichtigungsstatus.

Nach Techniken suchen

Verwenden Sie die Suchleiste, um nach einer bestimmten Technik anhand des Namens (z. B. Windows Command Shell) oder der ID (z. B. T1059.003) zu suchen. Für Regelnamen, Logtypen oder MITRE-Datenquellen können Sie das Menü Suchen nach verwenden, um die Ergebnisse einzugrenzen.

Technikdetails und Logquellen ansehen

Klicken Sie auf eine Technikkarte, um die Seitenleiste mit den Technikdetails zu öffnen. In diesem Bereich finden Sie Informationen zur Technik und zur Fähigkeit Ihrer Organisation, sie zu erkennen.

Der Bereich enthält die folgenden Informationen:

MITRE-Beschreibung: Die offizielle Beschreibung der Technik aus dem MITRE ATT&CK-Framework.

Untertechniken: alle mit der Technik verknüpften Untertechniken. Der farbige Chip neben jeder ID gibt die Anzahl der Regeln für diese bestimmte Untertechnik an.

Kuratierte Regeln: Eine umfassende Liste aller zugehörigen Regeln für diese Technik.

Logquellen: Logquellen, die den MITRE-Datenquellen für das Verfahren entsprechen und in den letzten 30 Tagen aktiv Daten gesendet haben.

Daten exportieren

Klicken Sie auf Exportieren, um die aktuelle Matrixansicht als JSON-Datei herunterzuladen. Diese Datei ist mit dem offiziellen MITRE ATT&CK-Navigator-Tool für weitere Analysen kompatibel.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten