Was ist das MITRE ATT&CK-Framework?
ATT&CK beschreibt detailliert das Verhalten und die Taxonomie gegnerischer Aktionen in den Lebenszyklen von Bedrohungen und verbessert Threat Intelligence, Security Operations und Sicherheitsarchitektur.
Das ATT&CK-Framework besteht aus zwei Teilen: ATT&CK for Enterprise, eine detaillierte KnowledgeBase, die das Verhalten gegenüber IT-Netzwerken und der Cloud in Unternehmen abdeckt, und ATT&CK for Mobile, das sich auf das Verhalten gegenüber mobilen Geräten konzentriert.
Die „Schmerzpyramide“ ist eine Darstellung der Arten von Bedrohungsindikatoren (Indicators of Compromise, IoCs). Sie misst den potenziellen Nutzen von Bedrohungsdaten und konzentriert sich auf Incident-Reaktion und Threat Hunting.
Trivial – Hash-Werte
Ein Hash-Wert wird durch Algorithmen wie MD5 und SHA erzeugt und steht für eine bestimmte bösartige Datei. Hashes liefern spezifische Referenzen zu Malware und verdächtigen Dateien, die von Angreifern für das Eindringen verwendet werden.
Einfach – IP-Adresse
IP-Adressen sind einer der grundlegendsten Indikatoren für die Herkunft eines bösartigen Angriffs. Allerdings ist es möglich, über einen Proxy-Service eine andere IP-Adresse zu übernehmen und die Adresse häufig zu ändern.
Simpel – Domänennamen
Dabei kann es sich um einen Domänennamen oder sogar um eine Art von Subdomäne handeln, die registriert ist, bezahlt wurde oder gehostet wird. Allerdings gibt es zahlreiche DNS-Service-Provider, bei denen die Registrierungsstandards recht locker sind.
Lästig – Netzwerk-/Host-Artefakte
Netzwerkartefakte sind Teile von Aktivitäten, die einen bösartigen Benutzer identifizieren und von einem legitimen Benutzer unterscheiden können. Ein gängiges Beispiel sind URI-Muster oder C2-Informationen, die in Netzwerkprotokolle eingebettet sind.
Host-Artefakte sind Objekte, die durch schädliche Aktivitäten auf einem Host verursacht werden und bösartige Aktivitäten identifizieren und sie von legitimen Aktivitäten unterscheiden. Zu diesen Erkennungsmerkmalen gehören Registrierungsschlüssel oder Werte, die bekanntermaßen von Malware erstellt werden, oder Dateien/Verzeichnisse, die in bestimmten Bereichen abgelegt werden.
Herausfordernd – Tools
In der Regel handelt es sich bei Tools um Softwaretypen, die ein Angreifer gegen Sie einsetzt. Es kann sich auch um eine Reihe von Tools handeln, die verwendet werden, um mit vorhandenem Code oder Software zu interagieren. Zu den Tools gehören Dienstprogramme, die bösartige Dokumente für Spearphishing erstellen, Backdoors, die C2- oder Passwort-Cracker einrichten, oder andere Dienstprogramme, die Sie kompromittieren können.
Schwierig – TTPs
Taktik, Techniken und Verfahren stehen an der Spitze der Pyramide. Sie umfassen den gesamten Prozess der Ausführung eines Angriffs – von der Erkundungsphase bis hin zur Exfiltration der Daten und allem, was dazwischen liegt.
Threat Intelligence
Die Verteidigungsmaßnahmen werden auf Grundlage potenzieller Bedrohungen festgelegt. Außerdem werden die Techniken auf Grundlage gemeinsamer Merkmale von Gruppen und einer Lückenanalyse der aktuellen Abwehrmaßnahmen im Vergleich zu den üblichen Bedrohungen priorisiert.
Erkennung und Analyse
Purple Teaming, Datenquellen, Tests, benutzerdefinierte Analysen und OOB-Analysen.
Angriffssimulation
Kommunikation mit dem blauen Team, unterschiedliche Verhaltensweisen des roten Teams, Emulation von Gegnern auf Grundlage von CTI und präzise Tests der Techniken.
Risikobewertungen und Sicherheitstechnik
Bewertung von Sicherheitslücken auf Grundlage der realen Nutzung und Festlegung von Prioritäten für Abwehrmaßnahmen und Investitionen, z. B. für einzelne Techniken, Schutzmaßnahmen und Zuverlässigkeit verschiedener Techniken.
Setzen Sie Security Incident Response ein
MITRE ATT&CK stärkt Unternehmen über das Threat-Intelligence- und das SIR-Modul, verbessert Ihre Reaktion auf Incidents und schützt wertvolle Assets.