ATT&CK框架成为网络安全行业的“世界说话”

颁布功夫 2021-11-19

ATT&CK模型由MITRE公司于2013年创建。MITRE公司前身是麻省理工学院的林肯尝试室，是一家向美国当局提供系统工程、钻研开发和信息技术支持的非投机性组织，其最引为人知的是它目前守护了全球最大的缝隙信息库CVE。而ATT&CK框架正是MITRE公司基于其在CVE缝隙库治理基础上，总结入侵者入侵实战和缝隙利用手法，从而形成具体的入侵知识库框架。


ATT&CK模型作为最近几年最火的攻防框架，目前汇聚了来自全球的安全社区贡献的、基于汗青实战的高级威胁入侵技术、战术（技战法），形成针对入侵者行为描述及相应防御构建的通用说话和知识图谱。


ATT&CK框架成为网络安全行业的“世界说话”


ATT&CK的提出拥有两方面的沉大意思，首先，ATT&CK框架提供了描述入侵者行为的统一说话，同时也是一门网络安全行业的“世界说话”，让攻防互换不再有阻碍。在ATT&CK框架提出之前，攻防双方，各个厂商组织之间对于入侵行为的描述是各不一样，导致攻防双方互换以及入侵技战法的遍及存在较大难题。


正如春秋战国期间的列国说话均不统一，统一类事物，齐人有齐人的说法，郑人有郑人的定名，说话的不通极大限度了文化知识的传布与传承，而ATT&CK框架的诞生则好比秦灭六国，车同轨、书同文，自此攻防互换不再有阻碍。


其次，ATT&CK框架是入侵者的“全景图谱”，扭转了持久以来“防”落后于“攻”的境界，从“未知攻焉知防”步入到“已知攻而专一于匹涤妆，单一来说就是早期防御者都不知路入侵者是怎么入侵的？无论是招数还是兵器，防御更是无从谈起，ATT&CK框架的出现，好交锋林秘籍“九阴真经”被颁布于世，防御者能够专一于思虑若何破解招数，持久落后的防守一方终于看到了对等匹敌入侵的曙光。


ATT&CK框架的十四个战术


ATT&CK框架脱胎于洛克希德-马丁的KillChain杀伤链模型，在此基础上构建了一套越发细粒度、更易达成共识的知识模型和框架。ATT&CK模型覆盖了Kill Chain模型的所有阶段，同时扩大了后渗入阶段的有关技术。ATT&CK框架的主题理想与身分是TTP（Tactics, Techniques and Procedures；战术, 技术与过程）,ATT&CK框架中所有对入侵行动的分析以及知识库的提炼堆集，都是萦绕TTP而发展的。当前ATT&CK的版本号是V10版本，具体战术如下：


1. 窥伺：网络信息以打算将来敌手的行动，即有关指标组织的信息


2. 资源筹备：成立资源以支持作战，即成立指挥和节造基础设施


3. 初始接见：尝试突破天堑进入网络，蕴含通例入侵和社会工程学入侵。


4. 执行：尝试运行恶意代码，运行远程接见工具


5. 悠久化：通过批改系统配置和战术，试图成立持久据点。


6. 权限提升：通过利用缝隙提升接见权限，试图获得更高级此外权限


7. 防御躲避：使用受信赖的过程来暗藏恶意软件，试图躲避检测


8. 痛处窃�。呵匀∮没兔苈氲韧创�，例如利用键盘纪录


9. 内部探测：索求内部环境中所有系统，试图弄明显地点环境


10.横向移动：内网横向移动，即便用合法凭证在多个系统中移动


11.数据网络：网络指标中有价值的数据，例如接见云存储中的数据


12.号令和节造：与受习染的系统通讯以节造它们，即仿照正常的网络流量与受害网络通讯以进行远程节造


13.数据渗漏：窃取数据，例如通过荫蔽隧路转移数据到云账户


14.影响：把持、中断或粉碎系统和数据，即便用勒索软件加密数据


以上是ATT&CK框架的十四个战术，跟洛克希德-马丁的Kill Chain不一样的是这些战术不用遵循任何线性挨次，入侵者能够轻易切换战术来实现最终指标。


ATT&CK在安全运营中的利用


ATT&CK框架不仅仅是一套入侵步骤论，同时也是一套防御步骤论，使得安全运营单元不再局限于合规安全，而是面向实战，借助入侵步骤论持续改进安全防御能力。


对于传统网络安全保险系统建设来说，有形形色色的基础安全建设框架模型，例如我国的等级�；�2.0框架、关键信息基础设施网络安全框架，美国的NIST CSF框架等等，但这些传统的基础网络安全框架模型无数是面向风险治理的模型，从网络安全治理或者治理的角度启程的，偏沉于静态评估。并且评估的伎俩重要蕴含查阅资料、访谈、调延注测评、差距分析等，重要凭据专家经验打分，以评价能力有无为关键指标，而无法验证能力的有效性。


以等级�；げ馄牢�，运营单元采购了防火墙、入侵检测设备、Web安全网关、碉堡机、安全治理中心等等，从合规角度满足等级�；さ囊�，大局上合理，切合等级�；ひ�，但真的满足安全了么？真的能招架现实世界的APT攻击么？答案是未知的。显然，这并不能反映真实网络安全空间的安全问题，所以我们必要一种面向实战攻防的技术框架，所以我们要在基础网络安全框架模型之上引入ATT&CK模型。


ATT&CK合用的场景好多，好多安全企业都在投入钻研，而MITRE官方推荐如下：


敌手仿照：通过获取敌手的入侵谍报并仿照他们的入侵行为来评估自身的安全性。ATT&CK可用于创建入侵者仿照场景来测试和验证防御。


红队建设：红队的实战参考手册，ATT&CK 可用于创建红队攻击知识框架，并组织入侵行为。


行为分析开发：将可疑活动特点联系在一路以监控敌手的活动。ATT&CK 可用于简化并提炼可疑恶意活动行为模式。


威胁谍报：ATT&CK 允许防御者评估他们是否可能防御特定的高级持续威胁 (APT) 和构建威胁参加者的常见行为模型。


防御差距评估：确定企业的哪些部门不足防御或可见性。ATT&CK 可用于评估现有工具，或在采办之前测试新工具，以确定安全领域和优先投资。


安全运营成熟度评估：与防御差距评估类似，ATT&CK 可用于验证安全运营中心 (SOC) 在检测、分析和响应缝隙方面的能力成熟度。