Memantau cakupan ancaman (MITRE)

Didukung di:

Dokumen ini menjelaskan cara menggunakan dasbor matriks MITRE ATT&CK di Google Security Operations. Matriks ini membantu Anda memahami postur keamanan organisasi Anda terhadap framework MITRE ATT&CK. Fitur ini juga membantu Anda menemukan celah dalam cakupan ancaman dan memprioritaskan tugas keamanan.

Memahami taktik dan teknik

Dalam framework MITRE ATT&CK, berikut adalah konsep dasar yang digunakan untuk mengategorikan perilaku musuh.

  • Taktik: Sasaran umum yang ingin dicapai penyerang. Misalnya, taktik umum mencakup Initial Access (masuk ke jaringan), Persistence (tetap berada di jaringan), dan Exfiltration (mencuri data).

  • Teknik: Metode spesifik yang digunakan untuk mencapai taktik. Misalnya, penyerang mungkin menggunakan teknik Phishing untuk mendapatkan taktik Initial Access. Setiap taktik memiliki teknik berbeda yang dapat digunakan oleh musuh.

  • Subteknik: Subteknik memberikan deskripsi yang lebih spesifik tentang cara teknik dijalankan. Teknik menjelaskan proses atau mekanisme untuk mencapai tujuan taktik. Misalnya, Spearphishing Attachment dan Spearphishing Link adalah subteknik dari teknik Phishing.

Taktik berikut ditampilkan dalam matriks MITRE ATT&CK:

Taktik MITRE ATT&CK Deskripsi
Koleksi Mengumpulkan data.
Perintah dan kontrol Hubungi sistem yang dikontrol.
Akses kredensial Mencuri informasi login dan sandi.
Penghindaran pertahanan Menghindari deteksi.
Discovery Memahami lingkungan Anda.
Eksekusi Menjalankan kode berbahaya.
Pemindahan yang tidak sah Mencuri data.
Dampak Memanipulasi, mengganggu, atau menghancurkan sistem dan data.
Akses awal Mendapatkan akses ke lingkungan Anda.
Pergerakan lateral Bergerak di lingkungan Anda.
Persistensi Mempertahankan posisi.
Eskalasi akses Mendapatkan tingkat izin yang lebih tinggi.
Pengintaian Mengumpulkan informasi untuk digunakan dalam operasi berbahaya di masa mendatang. Taktik ini hanya ditampilkan dalam matriks jika platform PRE dipilih di preferensi pengguna Anda.
Pengembangan resource Membangun resource untuk mendukung operasi berbahaya. Taktik ini hanya ditampilkan dalam matriks jika platform PRE dipilih di preferensi pengguna Anda.

Kasus penggunaan umum

Bagian ini mencantumkan beberapa kasus penggunaan umum untuk menggunakan matriks MITRE ATT&CK.

Mengidentifikasi peluang deteksi baru

  • Sasaran: sebagai analis keamanan, Anda ingin secara proaktif meningkatkan postur keamanan organisasi dengan memperluas cakupan aturan deteksi.

  • Tugas: temukan area tempat Anda memiliki data yang diperlukan untuk membuat deteksi baru, tetapi tidak memiliki aturan yang berlaku.

  • Langkah-langkah:

    1. Buka Matriks MITRE ATT&CK.

    2. Pindai matriks untuk menemukan kartu teknik yang menunjukkan jumlah aturan yang rendah atau nol.

    3. Temukan kartu teknik yang menampilkan "0 rules", tetapi mencantumkan jenis log yang tersedia.

    4. Klik kartu untuk membuka panel detail teknik.

    5. Tinjau daftar sumber log untuk mengonfirmasi bahwa sumber tersebut adalah feed data bervolume tinggi yang andal.

  • Hasil: mengidentifikasi peluang deteksi bernilai tinggi. Anda tahu bahwa Anda berhasil menyerap data yang benar untuk mendeteksi teknik ini, dan kini Anda dapat melanjutkan dengan membuat aturan baru untuk menutup kesenjangan cakupan ini.

Merespons saran ancaman baru

  • Sasaran: Cybersecurity and Infrastructure Security Agency (CISA) mengeluarkan peringatan tentang ransomware baru yang menyerang industri Anda.

  • Tugas: sebagai engineer deteksi, Anda perlu mengetahui apakah aturan keamanan saat ini dapat mendeteksi taktik, teknik, dan prosedur (TTP) tertentu yang digunakan oleh ancaman baru ini.

  • Langkah-langkah:

    1. Buka matriks MITRE ATT&CK.

    2. Filter matriks untuk menyoroti teknik yang disebutkan dalam pemberitahuan CISA (misalnya, T1486: Data Encrypted for Impact, T1059.001: PowerShell).

    3. Amati matriksnya. Anda mendapati bahwa matriks menunjukkan bahwa PowerShell tercakup dengan baik, tetapi Data Encrypted for Impact adalah kesenjangan kritis dengan "Tidak Ada Cakupan".

  • Hasil: Anda menemukan celah berprioritas tinggi dalam pertahanan Anda. Sekarang Anda dapat membuat aturan deteksi baru untuk mencakup perilaku ransomware.

Menyesuaikan dan meningkatkan kualitas deteksi yang ada

  • Sasaran: setelah insiden keamanan baru-baru ini, sebagai engineer keamanan, Anda perlu meningkatkan kualitas deteksi yang dipicu.

  • Tugas: Anda ingin melihat semua titik data untuk teknik tertentu. Hal ini membantu Anda memutuskan apakah aturan yang ada menggunakan sumber data dan logika terbaik.

  • Langkah-langkah:

    1. Buka matriks dan klik teknik T1003: OS Credential Dumping.

    2. Tampilan Details menampilkan dua aturan untuk teknik ini.

    3. Perhatikan bahwa kedua aturan menggunakan log command line yang lebih lama. Namun, widget sumber data menunjukkan bahwa alat EDR baru memberikan data dengan fidelitas lebih tinggi untuk teknik ini.

  • Hasil: Anda menemukan cara yang jelas untuk meningkatkan kualitas deteksi. Sekarang Anda dapat membuat aturan baru yang lebih kuat menggunakan data EDR. Hal ini menghasilkan lebih sedikit positif palsu dan peluang yang lebih baik untuk menangkap serangan dumping kredensial yang kompleks.

Sebelum memulai

Agar aturan kustom Anda muncul dalam matriks dan dihitung dalam cakupan ancaman, Anda harus memetakannya ke satu atau beberapa teknik MITRE ATT&CK.

Untuk melakukannya, tambahkan kunci technique ke bagian metadata aturan. Nilai ini harus berupa ID teknik MITRE ATT&CK yang valid atau beberapa ID sebagai string yang dipisahkan koma.

Contoh: metadata: technique="T1548,T1134.001"

Aturan baru akan muncul di matriks dalam beberapa menit.

Mengakses matriks MITRE ATT&CK

Untuk mengakses matriks MITRE ATT&CK, lakukan hal berikut:

  1. Login ke Google SecOps.

  2. Dari menu navigasi, klik Detection > Rules & Detections.

  3. Buka tab MITRE ATT&CK Matrix.

Matriks MITRE ATT&CK akan muncul.

Menggunakan matriks MITRE ATT&CK

Matriks menampilkan taktik MITRE ATT&CK sebagai kolom dan teknik sebagai kartu dalam kolom tersebut. Setiap kartu teknik diberi kode warna untuk menunjukkan status saat ini dan kedalaman cakupan deteksi Anda untuk teknik tersebut.

Di kartu teknik, Anda dapat melihat hal berikut:

Indikator sub-teknik: indikator kecil berwarna mewakili sub-teknik terkait. Warna setiap indikator sesuai dengan jumlah aturan untuk sub-teknik tersebut. Arahkan kursor ke indikator untuk melihat namanya.

Tombol sub-teknik: untuk menyederhanakan matriks utama dan mengurangi gangguan visual, buka menu View options dan hapus centang pada kotak Display sub-techniques.

Log type count: menampilkan jenis log yang terkait dengan teknik. Jika teknik tidak memiliki aturan, kartu teknik dapat menampilkan jumlah jenis log terkait (misalnya, "7 jenis log"). Hal ini menunjukkan peluang deteksi, yang menunjukkan bahwa Anda memiliki data yang diperlukan untuk membuat aturan bagi teknik tersebut.

Menyempurnakan penghitungan cakupan

Untuk menyaring penghitungan cakupan, gunakan daftar untuk Jenis aturan, Status aktif, dan Status pemberitahuan guna menyaring penghitungan cakupan Anda.

Telusuri teknik

Gunakan kotak penelusuran untuk menemukan teknik tertentu berdasarkan nama (misalnya, Windows Command Shell) atau ID (misalnya, T1059.003). Untuk nama aturan, jenis log, atau sumber data MITRE, gunakan menu Search by untuk mempersempit hasil.

Melihat detail teknik dan sumber log

Klik kartu teknik mana pun untuk membuka panel samping detail teknik. Panel ini memberikan informasi tentang teknik dan kemampuan organisasi Anda untuk mendeteksinya.

Panel ini berisi informasi berikut:

Deskripsi MITRE: deskripsi resmi teknik dari framework MITRE ATT&CK.

Sub-teknik: semua sub-teknik yang terkait dengan teknik tersebut. Chip berwarna di samping setiap ID menunjukkan jumlah aturan untuk sub-teknik tertentu tersebut.

Aturan pilihan: daftar lengkap semua aturan terkait untuk teknik tersebut.

Sumber log: sumber log yang sesuai dengan sumber data MITRE untuk teknik yang telah aktif mengirim data dalam 30 hari terakhir.

Ekspor data

Klik Ekspor untuk mendownload tampilan matriks saat ini sebagai file JSON. File ini kompatibel dengan alat navigator MITRE ATT&CK resmi untuk analisis lebih lanjut.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.