Monitora la copertura delle minacce (MITRE)

Supportata in:

Questo documento descrive come utilizzare la dashboard della matrice MITRE ATT&CK in Google Security Operations. La matrice ti aiuta a comprendere la security posture della tua organizzazione rispetto al framework MITRE ATT&CK. Inoltre, ti aiuta a trovare lacune nella copertura delle minacce e a dare la priorità alle attività di sicurezza.

Comprendi tattiche e tecniche

Nel framework MITRE ATT&CK, di seguito sono riportati i concetti fondamentali utilizzati per classificare il comportamento degli avversari.

  • Tattica: obiettivo di alto livello che un aggressore sta cercando di raggiungere. Ad esempio, le tattiche comuni includono Initial Access (accesso alla rete), Persistence (permanenza nella rete) e Exfiltration (furto di dati).

  • Tecnica: il metodo specifico utilizzato per realizzare una tattica. Ad esempio, un utente malintenzionato potrebbe utilizzare la tecnica Phishing per ottenere la tattica Initial Access. Ogni tattica ha tecniche diverse che un avversario potrebbe utilizzare.

  • Sottotecnica: una sottotecnica fornisce una descrizione più specifica di come viene eseguita una tecnica. Descrive in dettaglio il processo o il meccanismo per raggiungere l'obiettivo di una tattica. Ad esempio, Spearphishing Attachment e Spearphishing Link sono sottotecniche della tecnica Phishing.

Nella matrice MITRE ATT&CK vengono visualizzate le seguenti tattiche:

Tattica MITRE ATT&CK Descrizione
Raccolta Raccogli i dati.
Comando e controllo Sistemi controllati tramite contatto.
Accesso alle credenziali Rubare i dati di accesso e le password.
Evasione della difesa Evitare il rilevamento.
Discovery Scopri il tuo ambiente.
Esecuzione Eseguire codice dannoso.
Esfiltrazione Rubare dati.
Impatto Manipolare, interrompere o distruggere sistemi e dati.
Accesso iniziale Ottenere l'accesso al tuo ambiente.
Movimento laterale Spostati nell'ambiente.
Persistenza Mantenimento di una base di partenza.
Escalation dei privilegi Ottenere autorizzazioni di livello superiore.
Ricognizione Raccogliere informazioni da utilizzare in future operazioni dannose. Questa tattica viene visualizzata nella matrice solo quando la piattaforma PRE è selezionata nelle preferenze utente.
Sviluppo delle risorse Creare risorse per supportare operazioni dannose. Questa tattica viene visualizzata nella matrice solo quando la piattaforma PRE è selezionata nelle tue preferenze utente.

Casi d'uso comuni

Questa sezione elenca alcuni casi d'uso comuni per l'utilizzo della matrice MITRE ATT&CK.

Identifica nuove opportunità di rilevamento

  • Obiettivo: in qualità di analista della sicurezza, vuoi migliorare in modo proattivo la security posture della tua organizzazione ampliando la copertura delle regole di rilevamento.

  • Attività: trova le aree in cui disponi dei dati necessari per creare nuovi rilevamenti, ma non hai regole in atto.

  • Passaggi:

    1. Apri la matrice MITRE ATT&CK.

    2. Scansiona la matrice per trovare le schede delle tecniche che mostrano un numero di regole basso o pari a zero.

    3. Trova una scheda di tecnica che mostra "0 regole", ma elenca i tipi di log disponibili.

    4. Fai clic sulla scheda per aprire il riquadro dei dettagli della tecnica.

    5. Esamina l'elenco delle origini dei log per verificare che si tratti di feed di dati affidabili e ad alto volume.

  • Risultato: identificazione di un'opportunità di rilevamento di alto valore. Sai di importare correttamente i dati giusti per rilevare questa tecnica e ora puoi procedere con la creazione di una nuova regola per colmare questa lacuna di copertura.

Rispondi a un nuovo avviso sulle minacce

  • Obiettivo: la Cybersecurity and Infrastructure Security Agency (CISA) emette un avviso su un nuovo ransomware che attacca il tuo settore.

  • Attività: in qualità di detection engineer, devi sapere se le tue attuali regole di sicurezza sono in grado di rilevare le tattiche, le tecniche e le procedure (TTP) specifiche utilizzate da questa nuova minaccia.

  • Passaggi:

    1. Apri la matrice MITRE ATT&CK.

    2. Filtra la matrice per evidenziare le tecniche menzionate nell'avviso CISA (ad esempio, T1486: Data Encrypted for Impact, T1059.001: PowerShell).

    3. Osserva la matrice. Noti che la matrice mostra che PowerShell è ben coperto, ma Data Encrypted for Impact è una lacuna critica con "Nessuna copertura".

  • Risultato: trovi una lacuna ad alta priorità nelle tue difese. Ora puoi creare una nuova regola di rilevamento per coprire il comportamento del ransomware.

Ottimizza e migliora i rilevamenti esistenti

  • Obiettivo: dopo un recente incidente di sicurezza, in qualità di security engineer, devi migliorare la qualità dei rilevamenti attivati.

  • Attività: vuoi visualizzare tutti i punti dati per una tecnica specifica. In questo modo puoi decidere se le regole esistenti utilizzano le origini dati e la logica migliori.

  • Passaggi:

    1. Apri la matrice e fai clic sulla tecnica T1003: OS Credential Dumping.

    2. La visualizzazione Dettagli mostra le due regole per questa tecnica.

    3. Tieni presente che entrambe le regole utilizzano log della riga di comando meno recenti. Tuttavia, il widget dell'origine dati mostra che il nuovo strumento EDR fornisce dati di fedeltà superiore per questa tecnica.

  • Risultato: trovi un modo chiaro per migliorare la qualità del rilevamento. Ora puoi creare una nuova regola più efficace utilizzando i dati EDR. Ciò si traduce in un minor numero di falsi positivi e in una maggiore probabilità di rilevare attacchi complessi di credential dumping.

Prima di iniziare

Affinché le regole personalizzate vengano visualizzate nella matrice e vengano conteggiate nella copertura delle minacce, devi mapparle a una o più tecniche MITRE ATT&CK.

Per farlo, aggiungi una chiave technique alla sezione metadata della regola. Il valore deve essere un ID tecnica MITRE ATT&CK valido o più ID sotto forma di stringa separata da virgole.

Esempio: metadata: technique="T1548,T1134.001"

Le nuove regole vengono visualizzate nella matrice entro pochi minuti.

Accedi alla matrice MITRE ATT&CK

Per accedere alla matrice MITRE ATT&CK, segui questi passaggi:

  1. Accedi a Google SecOps.

  2. Nel menu di navigazione, fai clic su Rilevamento > Regole e rilevamenti.

  3. Vai alla scheda Matrice MITRE ATT&CK.

Viene visualizzata la matrice MITRE ATT&CK.

Utilizza la matrice MITRE ATT&CK

La matrice mostra le tattiche MITRE ATT&CK come colonne e le tecniche come schede all'interno di queste colonne. Ogni scheda della tecnica è codificata per colore per indicare lo stato attuale e la profondità della copertura di rilevamento per quella tecnica.

Nelle schede delle tecniche puoi visualizzare quanto segue:

Indicatori delle sottotecniche: i piccoli indicatori colorati rappresentano le sottotecniche associate. Il colore di ogni indicatore corrisponde al numero di regole per quella sottotecnica. Tieni il puntatore sopra un indicatore per visualizzarne il nome.

Attivazione/disattivazione delle sottotecniche: per semplificare la matrice principale e ridurre il rumore visivo, apri il menu Opzioni di visualizzazione e deseleziona la casella di controllo Mostra sottotecniche.

Conteggio dei tipi di log: mostra i tipi di log associati alla tecnica. Se una tecnica non ha regole, la scheda della tecnica può visualizzare un conteggio dei tipi di log associati (ad esempio, "7 tipi di log"). Questo indica un'opportunità di rilevamento, mostrando che disponi dei dati necessari per creare regole per quella tecnica.

Perfeziona il calcolo della copertura

Per perfezionare il calcolo della copertura, utilizza gli elenchi per Tipo di regola, Stato live e Stato avviso.

Cerca tecniche

Utilizza la barra di ricerca per trovare una tecnica specifica in base al nome (ad esempio, Windows Command Shell) o all'ID (ad esempio, T1059.003). Per i nomi delle regole, i tipi di log o le origini dati MITRE, utilizza il menu Cerca per per restringere i risultati.

Visualizza i dettagli della tecnica e le origini dei log

Fai clic su una scheda della tecnica per aprire il riquadro laterale dei dettagli della tecnica. Questo riquadro fornisce informazioni sulla tecnica e sulla capacità della tua organizzazione di rilevarla.

Il riquadro contiene le seguenti informazioni:

Descrizione MITRE: la descrizione ufficiale della tecnica dal framework MITRE ATT&CK.

Sottotecniche: tutte le sottotecniche associate alla tecnica. Il chip colorato accanto a ogni ID indica il numero di regole per quella specifica sottotecnica.

Regole selezionate: un elenco completo di tutte le regole associate per quella tecnica.

Origini log: origini log che corrispondono alle origini dati MITRE per la tecnica che hanno inviato dati attivamente negli ultimi 30 giorni.

Esporta i dati

Fai clic su Esporta per scaricare la visualizzazione della matrice corrente come file JSON. Questo file è compatibile con lo strumento di navigazione ufficiale MITRE ATT&CK per ulteriori analisi.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.