前沿安全论丨ATT&CK框架在安全运营中的利用

颁布功夫 2021-11-30

威胁谍报是关于IT或信息资产所面对的现有或潜在威胁的循证知识 ，蕴含情境、机造、指标、推论与可行建议 ，这些知识可为威胁响应提供决策凭据。——Gartner在2014年颁发的《安全威胁谍报服务市场指南》（Market Guide for Security Threat Intelligence Service）中提出的界说。


凭据David J. Bianco在《The Pyramid of Pain》一文中提出的威胁谍报有关指标的金字塔模型 ，能够凭据数据自身将威胁谍报分为HASH值、IP地址、域名、网络或主机特点、TTPs（Tactics、Techniques & Procedures）。左侧是可能利用的谍报 ，右侧是这些谍报的价值和把握后给入侵者造成的疾苦水平。


ATT&CK框架用于威胁谍报的实际.png


威胁谍报中价值最低的是Hash值、IP地址和域名（也就是常说的特点库） ，其次是网络/主机特点、入侵工具特点 ，对入侵者影响最大的是TTPs（战术、技术和行为模式）类型的威胁谍报。而目前安全运营中大量使用的依然是基于HASH（特点库）、IP（护网行动中蓝队的通例的“封IP”行为）、域名、URL为基础凭据的威胁谍报 ，这些谍报在应对自动海量无自主见识的病毒较为有效 ，而在应对高级可持续威胁入侵方面的比力乏力 ，等闲被入侵者绕过。而ATT&CK框架的主题正是TTP ，用尺度说话描述敌手入侵行为 ，天然的为威胁谍报提供了高阶标签 ，在安全运营中 ，防御者能够凭据已知入侵者技术和战术来跟踪入侵主体 ，预警甚至预判可能的入侵行为和模式。


事俘：某经典的鱼叉式垂钓场景的威胁谍报构建


入侵团队利用微软Office宏文件的VBSript构建攻击代码 ，而后通过电子邮件进行鱼叉垂钓攻击 ，受害者执行代码后 ，主机被入侵节造 ，并用作跳板机进一步入侵内网。高阶威胁谍报的主题是鉴别并标识攻击者的技战法（TTP） ，因而选取ATT&CK框架来鉴别和构建入侵的TTP行为链条。如下 ，分列出入侵者使用的战术、技术以及对应的标签、缓解措施和检测伎俩。


1、信息网络：入侵者网络指标有关信息


2、初始接见：入侵者发送鱼叉式邮件诱导执行


3、代码执行：受害主机启用Office宏执行恶意代码


4、悠久化：创建服务过程、增长打算工作


5、防御躲避（假装）：RTLO字符从右往左覆盖假装正常文件名


6、号令与节造：成立荫蔽隧路、搭建内网代理


7、数据渗漏：成立C2隧路节造与数据窃取


8、影响：存储数据操作 ，篡改内容


最终形成入侵链条如下 ，把稳ATT&CK框架中的战术长短线性的。由上例可见 ，依照ATT&CK框架模型进行威胁建模 ，极大的方便了构建安全运营中高阶威胁谍报知识库 ，齐全的梳理出威胁行为的TTP、检测数据源以及防御措施 ，简化了溯源的流程和威胁谍报的创建过程 ，为安全运营中构建自动防御系统提供了有力的支持。


ATT&CK用于安全运营能力成熟评估实际


在现实安全运营中 ，好多安全主管都存在难以回覆的量化困境 ，例如：当前的安全防御系统有效性若何 ？安全投资和建设的优先级若何 ？实战演习是否推动了能力的提升 ？


同样对于安全运维人员 ，也存在难以回覆的问题：


是否可能匹敌当前盛行的APT攻击行为 ？海量的告警数据应该若何分析确定法规 ？若何验证运维团队的技术工作能力的有效性 ？


实际是检验真谛的唯一尺度 ，所有安全问题的有效性应该用实际的方式来检验。因而ATT&CK框架正是检验防御能力的有效伎俩。


（一）入侵者仿照打算


基于ATT&CK的入侵者仿照打算 ，能够选取两种方式：


1、实战入侵 ，依照ATT&CK的框架尺度 ，组织红队打算发展一系列基于威胁的安全测试 ，仿照真实入侵者的战术技术和过程 ，用实战检验防御系统的真实防御能力。


2、沙盘推演 ，让企业的红蓝团队选择分歧的角色 ，会商红队若何使用分歧步骤来执行攻击行为的 ，会商威胁谍报分析人员是若何溯源分析 ，安全运营人员是若何匹敌措置的 ，将ATT&CK作为通用说话进行沟通和推演。


这和通常的渗入测试有什么分歧呢 ？


渗入测试重要是单一团队的入侵测试 ，而基于ATT&CK的入侵者仿照打算重要在于能够仿照多个APT组织的入侵行为 ，而非单一组织的伎俩和大局 ，越发全面和有效。


并且 ，MITRE也创建有入侵者仿照打算 ，主张是让红队可能越发正确高效地仿照入侵行为 ，从而使得防守方可能越发有效地测试自己的网络防御能力。例如基于APT3创建的入侵者仿照规划 ，规划中齐全的复现了APT3入侵的所有流程。从而使得安全运营方可能越发有效地测试自己的保险系统应对各类APT组织入侵时的防御能力。


（二）安全运营能力成熟度评估


ATT&CK框架同样可利用于安全运营中心的防御能力成熟度评估 ，评估组织现有的防御系统 ，是否可能覆盖到所有已知入侵伎俩 ，辅助发现防御能力短板 ，推进美满防御系统框架。具体来说能够实现如下：


1、评估网络安全防御框架能力 ，典型场景是安全能力覆盖度评估 ，选取色块标价法 ，能够了如指掌安全的差距在哪里 ，还必要改进哪些 ？


2、当安全能力已经实现了全覆盖 ，接下来是必要评估安全能力的成熟度 ，将成熟度依照分歧的水平打分。例如多款产品均覆盖到了该能力 ，批注防御成熟度较高 ，可进行深色赋值 ，相反则进行淡色赋值 ，最终形成可视化水平较高的安全能力成熟度模型。


3、主流入侵技术热度评估。对于组织来说 ，相识入侵者时时使用入侵技术也极度沉要。因而能够凭据ATT＆CK知识库中存在的122个APT组织的TTP（战术、技术、过程）创建入侵技术热力争。


此时我们能够设想每一个APT组织使用的TTP都是在一块玻璃上涂色 ，当所有APT组织实现涂色后 ，把这些玻璃叠加起来就形成了宝运莱官方网站威胁组织数据的热力争 ，热力争中的色彩越深 ，则暗示入侵组织使用该技术的频率就越高。综上 ，将ATT&CK框架利用于安全运营中心 ，可能真实反映安全运营中心在面对APT组织威胁时的安全防御能力 ，同时能够验证安全运营中心在检测、分析和响应方面的能力成熟度 ，并借助于威胁谍报、溯源反造构建安全运营中心的自动防御系统。


2017年 ，宝运莱官方网站集团便在行业率先开创性地提出“独立第三方安全运营”概想 ，为城市当局机构、企业及智慧城市建设 ，提供托管式、表包式的7x24幼时专业安全运营服务 ，为城市打造专职的网络空间安全应急响应中心 ，提高针对当局机构、企业及网络空间风险事务的发现与响应能力、加强对潜在入侵的监测和调查能力,由区域性第三方安全运营中心为城市提供专业的托管式安全服务 ，是有效提升城市网络安全能力的方式 ，是解决安全能力交付“最后一公里”的最佳选择 ，近年来逐步成为国内表网络安全产业发展的沉要方向。


宝运莱官方网站集团安全运营中心在实际中引入ATT&CK模型 ，不休汇总和输出分歧的安全能力 ，并在落地的过程中深度结合人为智能技术和安全分析技术 ，不休提升安全运营的治理水平 ，通过行业尺度来规范化输出安全运营中心运营剧本、ATT&CK入侵模型和高阶威胁谍报 ，精准定位安全事务 ，提升安全事务响应和措置速度。