Surveiller la couverture des menaces (MITRE)

Compatible avec :

Ce document explique comment utiliser le tableau de bord de la matrice MITRE ATT&CK dans Google Security Operations. La matrice vous aide à comprendre la stratégie de sécurité de votre organisation par rapport au framework MITRE ATT&CK. Il vous aide également à identifier les lacunes dans votre couverture des menaces et à hiérarchiser vos tâches de sécurité.

Comprendre les tactiques et les techniques

Dans le framework MITRE ATT&CK, les concepts fondamentaux suivants sont utilisés pour catégoriser le comportement des pirates informatiques.

  • Tactique : objectif général qu'un pirate informatique essaie d'atteindre. Par exemple, les tactiques courantes incluent Initial Access (pénétration dans le réseau), Persistence (maintien dans le réseau) et Exfiltration (vol de données).

  • Technique : méthode spécifique utilisée pour mettre en œuvre une tactique. Par exemple, un pirate informatique peut utiliser la technique Phishing pour obtenir la tactique Initial Access. Chaque tactique comporte différentes techniques qu'un pirate informatique pourrait utiliser.

  • Sous-technique : une sous-technique fournit une description plus spécifique de la façon dont une technique est exécutée. Il détaille le processus ou le mécanisme permettant d'atteindre l'objectif d'une tactique. Par exemple, Spearphishing Attachment et Spearphishing Link sont des sous-techniques de la technique Phishing.

Les tactiques suivantes sont affichées dans la matrice MITRE ATT&CK :

Tactique MITRE ATT&CK Description
Collection Recueillir des données
Commande et contrôle Contacter les systèmes contrôlés
Accès aux identifiants Voler des informations de connexion et des mots de passe
Éviction de défense Évitez d'être détecté.
Discovery Étudier l'environnement
Exécution Exécuter du code malveillant
Exfiltration Voler des données
Impact Manipuler, interrompre ou détruire les systèmes et les données
Accès initial Accéder à votre environnement
Mouvement latéral Explorer l'environnement
Persistance Rester en place.
Élévation des privilèges Obtenir des autorisations de niveau supérieur
Reconnaissance Recueillir des informations à utiliser dans de futures opérations malveillantes Cette tactique ne s'affiche dans la matrice que lorsque la plate-forme PRE est sélectionnée dans vos préférences utilisateur.
Développement de ressources Établir des ressources pour soutenir des opérations malveillantes. Cette tactique ne s'affiche dans la matrice que lorsque la plate-forme PRE est sélectionnée dans vos préférences utilisateur.

Cas d'utilisation courants

Cette section liste quelques cas d'utilisation courants de la matrice MITRE ATT&CK.

Identifier de nouvelles opportunités de détection

  • Objectif : en tant qu'analyste de sécurité, vous souhaitez améliorer de manière proactive la stratégie de sécurité de votre organisation en élargissant la couverture des règles de détection.

  • Tâche : identifier les domaines dans lesquels vous disposez des données nécessaires pour créer des détections, mais où aucune règle n'est en place.

  • Étapes :

    1. Ouvrez la matrice MITRE ATT&CK.

    2. Parcourez la matrice pour trouver les fiches de techniques qui affichent un nombre de règles faible ou nul.

    3. Recherchez une fiche de technique qui affiche "0 règle", mais qui liste les types de journaux disponibles.

    4. Cliquez sur la fiche pour ouvrir le panneau des détails de la technique.

    5. Examinez la liste des sources de journaux pour vérifier qu'il s'agit de flux de données fiables et à volume élevé.

  • Résultat : identifier une opportunité de détection à forte valeur ajoutée. Vous savez que vous ingérez correctement les données appropriées pour détecter cette technique. Vous pouvez maintenant créer une règle pour combler cette lacune de couverture.

Répondre à un nouvel avis de menace

  • Objectif : la Cybersecurity and Infrastructure Security Agency (CISA) émet une alerte concernant un nouveau ransomware qui cible votre secteur d'activité.

  • Tâche : en tant qu'ingénieur en détection, vous devez savoir si vos règles de sécurité actuelles peuvent détecter les tactiques, techniques et procédures (TTP) spécifiques utilisées par cette nouvelle menace.

  • Étapes :

    1. Ouvrez la matrice MITRE ATT&CK.

    2. Filtrez la matrice pour mettre en évidence les techniques mentionnées dans l'alerte de la CISA (par exemple, T1486: Data Encrypted for Impact, T1059.001: PowerShell).

    3. Observez la matrice. Vous constatez que la matrice indique que PowerShell est bien couvert, mais que Data Encrypted for Impact présente un écart critique avec "Aucune couverture".

  • Résultat : vous trouvez une faille hautement prioritaire dans vos défenses. Vous pouvez maintenant créer une règle de détection pour couvrir le comportement du ransomware.

Ajuster et améliorer les détections existantes

  • Objectif : après un récent incident de sécurité, en tant qu'ingénieur de sécurité, vous devez améliorer la qualité des détections qui ont été déclenchées.

  • Tâche : vous souhaitez afficher tous les points de données d'une technique spécifique. Cela vous aide à déterminer si vos règles existantes utilisent les meilleures sources de données et la meilleure logique.

  • Étapes :

    1. Ouvrez la matrice et cliquez sur la technique T1003: OS Credential Dumping.

    2. La vue Détails affiche les deux règles de cette technique.

    3. Notez que les deux règles utilisent des journaux de ligne de commande plus anciens. Toutefois, le widget de source de données indique que le nouvel outil EDR fournit des données de meilleure qualité pour cette technique.

  • Résultat : vous trouvez un moyen clair d'améliorer la qualité de la détection. Vous pouvez maintenant créer une règle plus robuste à l'aide des données EDR. Cela permet de réduire les faux positifs et d'augmenter les chances de détecter les attaques complexes de vidage d'identifiants.

Avant de commencer

Pour que vos règles personnalisées apparaissent dans la matrice et soient prises en compte dans la couverture des menaces, vous devez les mapper à une ou plusieurs techniques MITRE ATT&CK.

Pour ce faire, ajoutez une clé technique à la section metadata de la règle. La valeur doit être un ID de technique MITRE ATT&CK valide ou plusieurs ID sous la forme d'une chaîne d'ID séparés par une virgule.

Exemple : metadata: technique="T1548,T1134.001"

Les nouvelles règles s'affichent dans la matrice en quelques minutes.

Accéder à la matrice MITRE ATT&CK

Pour accéder à la matrice MITRE ATT&CK, procédez comme suit :

  1. Connectez-vous à Google SecOps.

  2. Dans le menu de navigation, cliquez sur Détection > Règles et détections.

  3. Accédez à l'onglet Matrice MITRE ATT&CK.

La matrice MITRE ATT&CK s'affiche.

Utiliser la matrice MITRE ATT&CK

La matrice affiche les tactiques MITRE ATT&CK sous forme de colonnes et les techniques sous forme de fiches dans ces colonnes. Chaque fiche de technique est associée à un code couleur qui indique l'état actuel et la profondeur de votre couverture de détection pour cette technique.

Les fiches de technique affichent les informations suivantes :

Indicateurs de sous-techniques : les petits indicateurs colorés représentent les sous-techniques associées. La couleur de chaque indicateur correspond au nombre de règles pour cette sous-technique. Maintenez le pointeur sur un indicateur pour afficher son nom.

Bouton d'activation/de désactivation des sous-techniques : pour simplifier la matrice principale et réduire le bruit visuel, ouvrez le menu Options d'affichage et décochez la case Afficher les sous-techniques.

Nombre de types de journaux : affiche les types de journaux associés à la technique. Si une technique ne comporte aucune règle, la fiche de la technique peut afficher le nombre de types de journaux associés (par exemple, "7 types de journaux"). Cela indique une opportunité de détection, montrant que vous disposez des données nécessaires pour créer des règles pour cette technique.

Affiner le calcul de la couverture

Pour affiner le calcul de la couverture, utilisez les listes Type de règle, État de l'alerte et État de l'alerte.

Rechercher des techniques

Utilisez la barre de recherche pour trouver une technique spécifique par son nom (par exemple, Windows Command Shell) ou son ID (par exemple, T1059.003). Pour les noms de règles, les types de journaux ou les sources de données MITRE, utilisez le menu Rechercher par pour affiner les résultats.

Afficher les détails de la technique et les sources de journaux

Cliquez sur une fiche de technique pour ouvrir le panneau latéral des détails de la technique. Ce panneau fournit des informations sur la technique et sur la capacité de votre organisation à la détecter.

Le panneau contient les informations suivantes :

Description MITRE : description officielle de la technique du framework MITRE ATT&CK.

Sous-techniques : toutes les sous-techniques associées à la technique. Le chip de couleur à côté de chaque ID indique le nombre de règles pour cette sous-technique spécifique.

Règles sélectionnées : liste complète de toutes les règles associées à cette technique.

Sources de journaux : sources de journaux qui correspondent aux sources de données MITRE pour la technique qui ont envoyé des données au cours des 30 derniers jours.

Exporter les données

Cliquez sur Exporter pour télécharger la vue matricielle actuelle sous forme de fichier JSON. Ce fichier est compatible avec l'outil de navigation officiel MITRE ATT&CK pour une analyse plus approfondie.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.