MITRE ATT&CK

MITRE ATT&CK (Adversarial Tactics, Techniques and Common Knowledge) to ogólnodostępna baza wiedzy o taktykach i technikach napastników, oparta na obserwacjach z rzeczywistych ataków ^[1]. MITRE opisuje ją jako fundament do budowania modeli zagrożeń i metodyk w sektorze prywatnym, administracji i branży bezpieczeństwa ^[1]. W praktyce ATT&CK jest wspólnym językiem: zespół SOC (Security Operations Center), dostawca narzędzi i autor raportu threat intelligence mogą nazwać to samo zachowanie napastnika tym samym identyfikatorem.

Budowa

ATT&CK porządkuje wiedzę według schematu taktyk, technik i procedur (TTP). Dokument MITRE o założeniach modelu definiuje te pojęcia następująco ^[2]:

Taktyki tworzą kolumny macierzy, techniki są w nich wierszami. Jedna taktyka obejmuje wiele technik, bo ten sam cel można osiągnąć na różne sposoby ^[2]. Przy każdej technice MITRE podaje środki zaradcze (mitigations) i sposoby wykrywania.

Baza ma trzy macierze: Enterprise dla klasycznych środowisk IT, Mobile i ICS dla systemów przemysłowych ^[1]. W wersji treści v19 macierz Enterprise ma 15 taktyk, od rozpoznania (TA0043 Reconnaissance) po wpływ (TA0040 Impact) ^[3]. Wśród nich są między innymi Initial Access, Persistence, Privilege Escalation, Credential Access, lateral movement, Command and Control i Exfiltration ^[3].

Jak czytać stronę techniki

Każda technika ma własną stronę z identyfikatorem, opisem, przypisaną taktyką, przykładami procedur, środkami zaradczymi i strategiami wykrywania. Dobrym przykładem jest T1110 Brute Force. Opis mówi, że napastnicy mogą używać technik siłowych, gdy nie znają haseł albo gdy zdobyli ich skróty ^[6]. Technika należy do taktyki Credential Access i ma cztery podtechniki: zgadywanie haseł, łamanie haseł, password spraying i credential stuffing ^[6].

Środki zaradcze mają własne identyfikatory zaczynające się od litery M. Przy podtechnice T1505.003 są to M1042 (wyłączenie lub usunięcie funkcji albo programu) i M1018 (zarządzanie kontami użytkowników) ^[5]. Strategie wykrywania mają identyfikatory z prefiksem DET; dla webshelli jest to wykrywanie na podstawie zachowania serwera i łańcuchów uruchamiania plików ^[5].

Procedury są najbardziej konkretnym poziomem. Jako ilustrację MITRE podaje procedurę, w której grupa APT28 używa PowerShella do wstrzyknięcia kodu do procesu lsass.exe i zrzucenia danych uwierzytelniających z pamięci ^[2]. Taka procedura obejmuje kilka odrębnych zachowań naraz: PowerShell, wstrzyknięcie do procesu i odczyt pamięci LSASS ^[2].

Zastosowania

Najczęstsze sposoby użycia ATT&CK:

• Opis incydentu i raportu. Analityk zapisuje, które techniki wystąpiły w ataku, zamiast opisywać je własnymi słowami.
• Pokrycie detekcji. Reguły w SIEM (Security Information and Event Management) oznacza się identyfikatorami technik. Sekurak opisuje mapowanie reguł Wazuh na techniki MITRE, na przykład T1486 dla ransomware, jako wzmocnienie dokumentacji dla audytora ^[7].
• Emulacja przeciwnika. MITRE podaje, że model powstał w ramach badań, w których zespół emulujący napastnika budował scenariusze, a zespół obrońców mierzył postęp swoich analiz ^[2]. Z tego wyrosły ćwiczenia red team i purple team.
• Łączenie z wywiadem. NIST zaleca używanie aktualnych danych o zagrożeniach w analizie logów, żeby lepiej charakteryzować napastników, ich metody i wskaźniki kompromitacji (IoC) ^[8].

Schemat poniżej pokazuje, jak zdarzenie z logu trafia do opisu w języku ATT&CK.

RYS. 1Od zdarzenia w logu do techniki

W WordPressie

ATT&CK nie ma osobnej macierzy dla WordPressa, ale typowe ataki na strony dobrze mieszczą się w macierzy Enterprise.

Technika T1190 wprost obejmuje strony i serwery WWW jako cele, obok baz danych i usług takich jak SSH ^[4]. Opis T1505.003 zaczyna się od stwierdzenia, że napastnicy mogą instalować tylną furtkę na serwerach WWW w postaci webshelli, aby utrzymać trwały dostęp ^[5]; technika należy do taktyki Persistence ^[5]. Dla T1190 MITRE wymienia jako środki zaradcze między innymi aktualizację oprogramowania, skanowanie podatności i segmentację sieci ^[4].

Takie mapowanie pomaga zobaczyć, które etapy ataku na stronę są monitorowane, a które nie. Jeśli właściciel strony ma logi logowań, ale nie ma monitorowania integralności plików, wykryje T1110, ale może przeoczyć T1505.003.

Ograniczenia

ATT&CK opisuje to, co zaobserwowano. Technika, której nikt jeszcze nie udokumentował, nie ma identyfikatora. Macierz nie jest też listą kontrolną: oznaczenie reguły numerem techniki nie oznacza, że reguła wykrywa wszystkie jej warianty. MITRE zaznacza, że modele wysokiego poziomu, takie jak Cyber Kill Chain, dobrze opisują ogólny przebieg ataku, ale nie pokazują pojedynczych działań napastnika ani ich związku ze źródłami danych; ATT&CK ma tę lukę wypełniać ^[2]. Oba modele stosuje się więc razem, a nie zamiennie.

Historia

Pierwszy model ATT&CK powstał we wrześniu 2013 roku i dotyczył głównie środowisk Windows w przedsiębiorstwach ^[2]. Publicznie udostępniono go w maju 2015 roku; zawierał wtedy 96 technik w 9 taktykach ^[2]. Od tego czasu baza rozrosła się dzięki wkładowi społeczności i objęła kolejne dziedziny ^[2]. W wersji v19 macierz Enterprise liczy 15 taktyk, w tym Stealth i Defense Impairment ^[3].