מעקב אחרי כיסוי האיומים (MITRE)

נתמך ב:

במאמר הזה מוסבר איך להשתמש במרכז הבקרה של מטריצת MITRE ATT&CK ב-Google Security Operations. המטריצה עוזרת להבין את מצב האבטחה של הארגון ביחס למסגרת MITRE ATT&CK. הוא גם עוזר לכם למצוא פערים בכיסוי האיומים ולתעדף את משימות האבטחה.

הסבר על טקטיקות ושיטות

במסגרת MITRE ATT&CK, המושגים הבסיסיים הבאים משמשים לסיווג התנהגות של יריבים.

  • טקטיקה: היעד הראשי שהתוקף מנסה להשיג. לדוגמה, טקטיקות נפוצות כוללות את Initial Access (כניסה לרשת), Persistence (הישארות ברשת) ו-Exfiltration (גניבת נתונים).

  • טכניקה: השיטה הספציפית שבה משתמשים כדי ליישם טקטיקה. לדוגמה, תוקף יכול להשתמש בטכניקה Phishing כדי להשיג את הטקטיקה Initial Access. לכל טקטיקה יש טכניקות שונות שיריב יכול להשתמש בהן.

  • טכניקת משנה: טכניקת משנה מספקת תיאור ספציפי יותר של אופן הביצוע של טכניקה. היא מפרטת את התהליך או המנגנון להשגת המטרה של הטקטיקה. לדוגמה, Spearphishing Attachment ו-Spearphishing Link הן טכניקות משנה של הטכניקה Phishing.

הטקטיקות הבאות מוצגות במטריצה של MITRE ATT&CK:

טקטיקת MITRE ATT&CK תיאור
אוסף אוספים נתונים.
פקודות ואמצעי בקרה מערכות שמופעלות באמצעות מגע.
גישה לפרטי כניסה לגנוב את פרטי ההתחברות והסיסמה.
התחמקות מהגנה להימנע מזיהוי.
גילוי הגדרת הסביבה.
ביצוע להריץ קוד זדוני.
זליגת נתונים לגנוב נתונים.
השפעה לשנות, לשבש או להרוס מערכות ונתונים.
גישה ראשונית לקבל גישה לסביבה שלכם.
תנועה רוחבית תזוזו בסביבה שלכם.
התמדה לשמור על דריסת רגל.
הסלמת הרשאות (privilege escalation) לקבל הרשאות ברמה גבוהה יותר.
שלב איסוף המידע לאסוף מידע כדי להשתמש בו בפעולות זדוניות בעתיד. הטקטיקה הזו מוצגת במטריצה רק אם הפלטפורמה PRE נבחרה בהעדפות המשתמש.
פיתוח משאבים הקצאת משאבים לתמיכה בפעולות זדוניות. הטקטיקה הזו מוצגת במטריצה רק אם הפלטפורמה PRE נבחרה בהעדפות המשתמש.

תרחישים נפוצים לדוגמה

בקטע הזה מפורטים כמה תרחישים נפוצים לשימוש במטריצת MITRE ATT&CK.

זיהוי הזדמנויות חדשות לזיהוי

  • המטרה: כאנליסטים בתחום האבטחה, אתם רוצים לשפר באופן יזום את מצב האבטחה של הארגון על ידי הרחבת הכיסוי של כללי הזיהוי.

  • משימה: למצוא תחומים שבהם יש לכם את הנתונים הנדרשים כדי ליצור זיהויים חדשים, אבל אין לכם כללים מוגדרים.

  • השלבים:

    1. פותחים את מטריצת MITRE ATT&CK.

    2. סורקים את המטריצה כדי למצוא כרטיסי טכניקות שבהם מספר הכללים נמוך או אפס.

    3. מוצאים כרטיס טכניקה שמוצג בו "0 כללים" אבל מופיעים בו סוגי יומנים זמינים.

    4. לוחצים על הכרטיס כדי לפתוח את חלונית הפרטים של השיטה.

    5. בודקים את רשימת מקורות היומנים כדי לוודא שהם פידים אמינים של נתונים בנפח גבוה.

  • התוצאה: זיהוי הזדמנות לזיהוי בעל ערך גבוה. אתם יודעים שאתם מטמיעים בהצלחה את הנתונים הנכונים כדי לזהות את הטכניקה הזו, ועכשיו אתם יכולים להמשיך וליצור כלל חדש כדי לסגור את הפער הזה בכיסוי.

תגובה להמלצה חדשה בנושא איומים

  • היעד: הסוכנות האמריקאית לאבטחת סייבר ואבטחת תשתיות (CISA) מפרסמת התראה על תוכנת כופר חדשה שתוקפת את התחום שלכם.

  • המשימה: כמהנדסי זיהוי, אתם צריכים לדעת אם כללי האבטחה הנוכחיים שלכם יכולים לזהות את השיטות, הטכניקות והפעולות (TTPs) הספציפיות שמשמשות את האיום החדש הזה.

  • השלבים:

    1. פותחים את מטריצת MITRE ATT&CK.

    2. מסננים את המטריצה כדי להדגיש את הטכניקות שמוזכרות בהתראה של CISA (לדוגמה, T1486: Data Encrypted for Impact, T1059.001: PowerShell).

    3. מסתכלים על המטריצה. אתם מגלים שהמטריצה מראה ש-PowerShell מכוסה היטב, אבל Data Encrypted for Impact הוא פער קריטי עם "אין כיסוי".

  • התוצאה: אתם מוצאים פער בעדיפות גבוהה בהגנות שלכם. עכשיו אתם יכולים ליצור כלל זיהוי חדש שיכסה את ההתנהגות של תוכנת הכופר.

לכוונן ולשפר את הזיהויים הקיימים

  • המטרה: אחרי אירוע אבטחה שקרה לאחרונה, כמהנדסי אבטחה אתם צריכים לשפר את איכות הזיהויים שהופעלו.

  • המשימה: אתם רוצים לראות את כל הנקודות על הגרף של טכניקה ספציפית. כך תוכלו להחליט אם הכללים הקיימים שלכם משתמשים במקורות הנתונים ובלוגיקה הטובים ביותר.

  • השלבים:

    1. פותחים את המטריצה ולוחצים על הטכניקה T1003: OS Credential Dumping.

    2. בתצוגה Details מופיעים שני הכללים של השיטה הזו.

    3. שימו לב ששני הכללים משתמשים ביומנים ישנים יותר של שורת הפקודה. עם זאת, בווידג'ט של מקור הנתונים אפשר לראות שכלי ה-EDR החדש מספק נתונים מדויקים יותר לגבי הטכניקה הזו.

  • התוצאה: אתם מוצאים דרך ברורה לשפר את איכות הזיהוי. עכשיו אפשר ליצור כלל חדש וחזק יותר באמצעות נתוני ה-EDR. כך יש פחות תוצאות חיוביות מוטעות וסיכוי גבוה יותר לזהות מתקפות מורכבות של השלכת פרטי כניסה.

לפני שמתחילים

כדי שהכללים בהתאמה אישית יופיעו במטריצה וייכללו בכיסוי האיומים, אתם צריכים למפות אותם לטכניקה אחת או יותר של MITRE ATT&CK.

כדי לעשות את זה, מוסיפים מפתח technique לקטע metadata של הכלל. הערך חייב להיות מזהה תקין של טכניקת MITRE ATT&CK, או כמה מזהים כמחרוזת שמופרדת בפסיקים.

דוגמה: metadata: technique="T1548,T1134.001"

כללים חדשים מופיעים במטריצה תוך כמה דקות.

גישה למטריצת MITRE ATT&CK

כדי לגשת למטריצה של MITRE ATT&CK:

  1. מתחברים ל-Google SecOps.

  2. בתפריט הניווט, לוחצים על זיהוי > כללים וזיהויים.

  3. עוברים לכרטיסייה MITRE ATT&CK Matrix.

מופיעה המטריצה של MITRE ATT&CK.

שימוש במטריצה של MITRE ATT&CK

במטריצה, הטקטיקות של MITRE ATT&CK מוצגות כעמודות והשיטות מוצגות ככרטיסים בתוך העמודות האלה. לכל כרטיס טכניקה יש קוד צבע שמציין את הסטטוס הנוכחי ואת עומק הכיסוי של הזיהוי של אותה טכניקה.

בכרטיסי השיטות אפשר לראות את הפרטים הבאים:

אינדיקטורים של טכניקות משנה: האינדיקטורים הקטנים והצבעוניים מייצגים את טכניקות המשנה המשויכות. הצבע של כל אינדיקטור תואם למספר הכללים של אותה טכניקת משנה. מציבים את הסמן מעל אינדיקטור כדי לראות את השם שלו.

מתג טכניקות משנה: כדי לפשט את המטריצה הראשית ולהפחית את הרעש החזותי, פותחים את התפריט View options ומבטלים את הסימון בתיבה Display sub-techniques.

מספר סוגי היומנים: סוגי היומנים שמשויכים לטכניקה. אם לטכניקה מסוימת אין כללים, בכרטיס הטכניקה יכול להופיע מספר סוגי היומנים שמשויכים אליה (לדוגמה, "7 סוגי יומנים"). זה מצביע על הזדמנות לזיהוי, ומראה שיש לכם את הנתונים הדרושים כדי ליצור כללים לטכניקה הזו.

שיפור חישוב הכיסוי

כדי לשפר את חישוב הכיסוי, אפשר להשתמש ברשימות Rule type,‏ Live status ו-Alerting status.

חיפוש שיטות

בסרגל החיפוש אפשר לחפש טכניקה ספציפית לפי שם (לדוגמה, Windows Command Shell) או מזהה (לדוגמה, T1059.003). כדי לצמצם את התוצאות לפי שמות של כללים, סוגי יומנים או מקורות נתונים של MITRE, משתמשים בתפריט Search by.

הצגת פרטי הטכניקה ומקורות היומן

לוחצים על כרטיס של שיטה כלשהי כדי לפתוח את החלונית הצדדית עם פרטי השיטה. בחלונית הזו מוצג מידע על הטכניקה ועל היכולת של הארגון לזהות אותה.

החלונית מכילה את המידע הבא:

תיאור של MITRE: התיאור הרשמי של הטכניקה מ-MITRE ATT&CK framework.

שיטות משנה: כל שיטות המשנה שמשויכות לשיטה. הצ'יפ הצבעוני ליד כל מזהה מציין את מספר הכללים של אותה תת-טכניקה ספציפית.

כללים שנבחרו: רשימה מקיפה של כל הכללים שמשויכים לטכניקה הזו.

מקורות יומנים: מקורות יומנים שתואמים למקורות הנתונים של MITRE לטכניקה ששלחו נתונים באופן פעיל ב-30 הימים האחרונים.

ייצוא נתונים

לוחצים על ייצוא כדי להוריד את תצוגת המטריצה הנוכחית כקובץ JSON. הקובץ הזה תואם לכלי הניווט הרשמי של MITRE ATT&CK, שמאפשר לבצע ניתוח נוסף.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.