脅威カバレッジをモニタリングする（MITRE）

以下でサポートされています。

このドキュメントでは、Google Security Operations で MITRE ATT&CK マトリックス ダッシュボードを使用する方法について説明します。このマトリックスは、MITRE ATT&CK フレームワークに対する組織のセキュリティ ポスチャーを把握するのに役立ちます。また、脅威カバレッジのギャップを特定し、セキュリティ タスクの優先順位を付けることもできます。

戦術と手法を理解する

MITRE ATT&CK フレームワークでは、攻撃者の行動を分類するために使用される基本的なコンセプトは次のとおりです。

  • 戦術: 攻撃者が達成しようとしている高レベルの目標。たとえば、一般的な戦術には、Initial Access（ネットワークへの侵入）、Persistence（ネットワークへの常駐）、Exfiltration（データの窃盗）などがあります。

  • 手法: 戦術を達成するために使用される具体的な方法。たとえば、攻撃者が Phishing 手法を使用して Initial Access 戦術を達成する可能性があります。各戦術には、攻撃者が使用できるさまざまな手法があります。

  • サブテクニック: サブテクニックは、テクニックの実行方法をより具体的に説明します。戦術の目標を達成するためのプロセスまたはメカニズムを詳しく説明します。たとえば、Spearphishing Attachment と Spearphishing Link は Phishing 手法のサブ手法です。

MITRE ATT&CK マトリックスには、次の戦術が表示されます。

MITRE ATT&CK の戦術 説明
コレクション データを収集します。
コマンド＆コントロール 制御されたシステムに接続します。
認証情報アクセス ログイン情報とパスワード情報を盗む。
防御回避 検出を回避する。
検出 環境について把握します。
実行 不正なコードを実行する。
データの引き出し データを盗む。
影響 システムとデータを操作、中断、破壊する。
初期アクセス 環境へのアクセス権を取得します。
ラテラル ムーブメント 環境内を移動します。
永続性 足場を維持する。
権限昇格 上位レベルの権限を入手する。
偵察 将来の悪意のあるオペレーションで使用する情報を収集する。 この戦術は、ユーザー設定で PRE プラットフォームが選択されている場合にのみマトリックスに表示されます。
リソース開発 悪意のあるオペレーションをサポートするリソースを確立する。 この戦術は、ユーザー設定で PRE プラットフォームが選択されている場合にのみマトリックスに表示されます。

一般的なユースケース

このセクションでは、MITRE ATT&CK マトリックスを使用する一般的なユースケースをいくつか紹介します。

新しい検出機会を特定する

  • 目標: セキュリティ アナリストとして、検出ルールのカバレッジを拡大して、組織のセキュリティ ポスチャーをプロアクティブに改善します。

  • タスク: 新しい検出を構築するために必要なデータはあるが、ルールが設定されていない領域を見つけます。

  • 手順:

    1. MITRE ATT&CK マトリックスを開きます。

    2. マトリックスをスキャンして、ルール数が少ないかゼロのテクニック カードを探します。

    3. 「0 rules」と表示されているが、使用可能なログタイプが一覧表示されている手法カードを見つけます。

    4. カードをクリックして、手法の詳細パネルを開きます。

    5. ログソースのリストを確認して、これらが信頼性の高い大量のデータフィードであることを確認します。

  • 結果: 価値の高い検出機会を特定します。この手法を検出するために正しいデータが正常に取り込まれていることがわかったので、このカバレッジ ギャップを解消するための新しいルールの作成に進むことができます。

新しい脅威アドバイザリに対応する

  • 目標: サイバーセキュリティ インフラストラクチャ セキュリティ庁（CISA）が、業界を攻撃する新しいランサムウェアに関するアラートを発行します。

  • タスク: 検出エンジニアとして、現在のセキュリティ ルールで、この新しい脅威で使用される特定の戦術、手法、手順（TTP）を検出できるかどうかを把握する必要があります。

  • 手順:

    1. MITRE ATT&CK マトリックスを開きます。

    2. マトリックスをフィルタして、CISA アラートで言及されている手法（T1486: Data Encrypted for Impact、T1059.001: PowerShell など）をハイライト表示します。

    3. マトリックスを確認します。マトリックスを見ると、PowerShell は十分にカバーされていますが、Data Encrypted for Impact は「カバレッジなし」という重大なギャップになっています。

  • 結果: 防御体制に優先度の高いギャップが見つかります。これで、ランサムウェアの動作をカバーする新しい検出ルールを作成できます。

既存の検出を調整して改善する

  • 目標: 最近のセキュリティ インシデントを受けて、セキュリティ エンジニアとして、トリガーされた検出の品質を改善する必要があります。

  • タスク: 特定の手法のすべてのデータポイントを表示します。これにより、既存のルールで最適なデータソースとロジックが使用されているかどうかを判断できます。

  • 手順:

    1. マトリックスを開き、手法 T1003: OS Credential Dumping をクリックします。

    2. [詳細] ビューに、この手法の 2 つのルールが表示されます。

    3. どちらのルールも、古いコマンドライン ログを使用していることに注意してください。ただし、データソース ウィジェットには、新しい EDR ツールがこの手法に対してより忠実度の高いデータを提供することが示されています。

  • 結果: 検出品質を向上させる明確な方法が見つかります。EDR データを使用して、より堅牢な新しいルールを作成できるようになりました。これにより、誤検出が減り、複雑な認証情報ダンプ攻撃を検出できる可能性が高くなります。

始める前に

カスタムルールをマトリックスに表示し、脅威カバレッジにカウントするには、1 つ以上の MITRE ATT&CK 手法にマッピングする必要があります。

これを行うには、ルールの metadata セクションに technique キーを追加します。値は、有効な MITRE ATT&CK 手法 ID または複数の ID をカンマ区切りの文字列として指定する必要があります。

例: metadata: technique="T1548,T1134.001"

新しいルールは数分以内にマトリックスに表示されます。

MITRE ATT&CK マトリックスにアクセスする

MITRE ATT&CK マトリックスにアクセスするには、次の操作を行います。

  1. Google SecOps にログインします。

  2. ナビゲーション メニューで、[検出] > [ルールと検出] をクリックします。

  3. [MITRE ATT&CK Matrix] タブに移動します。

MITRE ATT&CK マトリックスが表示されます。

MITRE ATT&CK マトリックスを使用する

マトリックスには、MITRE ATT&CK の戦術が列として表示され、手法がそれらの列内のカードとして表示されます。各手法カードは、その手法の検出カバレッジの現在のステータスと深度を示すために色分けされています。

手法カードには、次の情報が表示されます。

サブテクニック インジケーター: 小さい色のインジケーターは、関連するサブテクニックを表します。各インジケーターの色は、そのサブテクニックのルールの数に対応しています。インジケーターの上にポインタを置くと、その名前が表示されます。

サブテクニックの切り替え: メイン マトリックスを簡素化して視覚的なノイズを減らすには、[表示オプション] メニューを開き、[サブテクニックを表示] チェックボックスをオフにします。

ログタイプの数: 手法に関連付けられているログタイプが表示されます。手法にルールが 0 個ある場合、手法カードには関連するログタイプの数（「7 つのログタイプ」など）が表示されます。これは検出の機会を示しており、その手法のルールを作成するために必要なデータがあることを示しています。

カバレッジの計算を調整する

カバレッジの計算を絞り込むには、[ルールタイプ]、[ライブ ステータス]、[アラート ステータス] のリストを使用します。

手法を検索

検索バーを使用して、名前（Windows Command Shell など）または ID（T1059.003 など）で特定のテクニックを検索します。ルール名、ログタイプ、MITRE データソースの場合は、[検索条件] メニューを使用して結果を絞り込みます。

手法の詳細とログソースを表示する

手法カードをクリックすると、手法の詳細サイドパネルが開きます。このパネルには、手法と、それを検出する組織の能力に関する情報が表示されます。

このパネルには、次の情報が表示されます。

MITRE の説明: MITRE ATT&CK フレームワークの手法の公式な説明。

サブ手法: 手法に関連付けられているすべてのサブ手法。各 ID の横にある色付きのチップは、その特定のサブテクニックのルールの数を示します。

キュレーテッド ルール: その手法に関連するすべてのルールの包括的なリスト。

ログソース: 過去 30 日間にデータをアクティブに送信した手法の MITRE データソースに対応するログソース。

データのエクスポート

[エクスポート] をクリックして、現在のマトリックス ビューを JSON ファイルとしてダウンロードします。このファイルは、MITRE ATT&CK の公式ナビゲーター ツールと互換性があり、さらに分析できます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。