Was ist MITRE ATT&CK und worin liegt sein Nutzen?

Wofür kann ATT&CK genutzt werden?

ATT&CK ist in einer Vielzahl von alltäglichen Szenarien wertvoll. Alle Verteidigungsaktivitäten, die Informationen zum Angreifer und seinem Verhalten nutzen, können von der Taxonomie von ATT&CK profitieren. Neben einem gemeinsamen Lexikon für Cyberschutz bietet ATT&CK auch eine Grundlage für Penetrationstests und Red Teaming. So wird sichergestellt, dass Verteidiger und Red Teamer eine gemeinsame Sprache im Zusammenhang mit den Verhaltensweisen von Gegnern sprechen.

Beispiele, bei denen die Anwendung der Taxonomie von ATT&CK nützlich sein kann:

Zuordnung von Verteidigungsmaßnahmen und Erkennen von Lücken mit ATT&CK

Bei der Betrachtung von MITRE ATT&CK neigen die meisten Sicherheitsteams dazu, für jede Technik in der Enterprise-Matrix eine Art von Erkennungs- oder Präventionskontrolle zu entwickeln und zu testen. Diese Idee ist zwar nicht schlecht, aber die Nuancen von ATT&CK machen diesen Ansatz ein wenig gefährlich, wenn nicht gewisse Vorbehalte beachtet werden. Die Techniken in den ATT&CK-Matrizen können häufig auf verschiedene Weisen durchgeführt werden. Das Blockieren oder Erkennen einer einzelnen Methode zur Ausführung der Techniken bedeutet nicht unbedingt, dass jede mögliche Art und Weise zur Ausführung dieser Technik abgedeckt ist. Dies kann zu einem falschen Gefühl der Sicherheit führen, da davon ausgegangen wird, dass die Technik ordnungsgemäß für die Organisation abgedeckt ist, wenn ein Tool eine Anwendungsform einer Technik blockiert. Angreifer können diese Technik jedoch ohne vorhandene Erkennung oder Prävention auch erfolgreich auf andere Weise anwenden.

Gehen Sie wie folgt vor, um diesem Problem zu begegnen:

• Gehen Sie immer davon aus, dass es mehr als eine Möglichkeit gibt, eine ATT&CK-Technik durchzuführen.
• Recherchieren und testen Sie bekannte Methoden zur Durchführung bestimmter Techniken und zur Messung der Effektivität der Tools und der Transparenz.
• Protokollieren Sie die Ergebnisse der Tests sorgfältig, um zu zeigen, wo sich bei dieser Technik Lücken befinden und welche Möglichkeiten der Anwendung dieser Technik verhindert oder erkannt werden können.
• Notieren Sie, welche Tools sich bei bestimmten Erkennungen als effektiv erweisen, und achten Sie auf Lücken, bei denen überhaupt keine Abdeckung vorhanden ist.
• Halten Sie sich über neue Methoden zur Durchführung von Techniken auf dem Laufenden, und testen Sie diese unbedingt in der Umgebung, um die Abdeckung zu messen.

Wenn eine Virenschutzsoftware beispielsweise das Vorhandensein von Mimikatz erkennt, bedeutet dies nicht, dass Pass the Hash (T1075) und Pass the Ticket (T1097) abgedeckt sind, da es noch mehrere andere Möglichkeiten gibt, diese Techniken durchzuführen, die nicht die Verwendung von Mimikatz erfordern. Beachten Sie dies, wenn Sie ATT&CK zur Darstellung von Abwehrmaßnahmen in einer Organisation verwenden.

Verwendung von ATT&CK mit Cyber Threat Intelligence

ATT&CK kann für Cyber Threat Intelligence nützlich sein, da es die Beschreibung von schädlichem Verhalten auf standardisierte Weise ermöglicht. Akteure können in ATT&CK anhand von Zuordnungen zu Techniken und Taktiken verfolgt werden, die sie bekanntermaßen nutzen. Dadurch erhalten Verteidiger einen Fahrplan zur Überprüfung ihrer operativen Kontrollen, mit dem sie feststellen können, wo Schwächen und Stärken in Bezug auf bestimmte Akteure vorhanden sind. Das Erstellen von MITRE ATT&CK Navigator-Einträgen für bestimmte Akteure ist eine gute Möglichkeit, die Stärken und Schwächen der Umgebung für diese Akteure oder Gruppen darzustellen. ATT&CK ist auch als STIX/TAXII 2.0-Feed verfügbar, was die Einbindung von bestehenden Tools, die diese Technologien unterstützen, erleichtert.

ATT&CK bietet Details zu nahezu siebzig Akteuren und Gruppen, einschließlich der Techniken und Tools, die sie basierend auf Open Source-Berichten verwenden können.

Liste der MITRE ATT&CK-Gruppen

Der Prozess der Intelligence-Erstellung von der Verwendung der gemeinsamen ATT&CK-Terminologie profitieren. Wie bereits erwähnt, kann dies für Akteure und Gruppen gelten, aber auch für beobachtete Verhaltensweisen, wie sie aus SOC- oder Vorfallsreaktionsaktivitäten ersichtlich sind. Malware kann auch in Form von Verhaltensweisen über ATT&CK referenziert werden. Alle Threat Intelligence-Tools, die ATT&CK unterstützen, tragen dazu bei, diesen Prozess zu vereinfachen. Commercial und Open Source Intelligence, die ATT&CK auf alle erwähnten Verhaltensweisen anwendet, sind ebenfalls zur Beibehaltung von Konsistenz hilfreich. Die Weitergabe von Intelligence an den Betrieb oder das Management ist letztlich wesentlich einfacher, wenn alle Parteien im Hinblick auf schädliches Verhalten die gleiche Sprache sprechen. Wenn man sich im Betrieb genau darüber im Klaren ist, was eine erzwungene Authentifizierung ist, und diese in einem Intelligence-Bericht erscheint, wissen die Mitarbeiter möglicherweise genau, welche Maßnahmen ergriffen werden sollten oder welche Kontrollen hinsichtlich dieses Intelligence-Elements bereits angewendet werden. Eine derartige Standardisierung auf ATT&CK-Referenzen in Intelligence-Produkten kann die Effizienz erheblich verbessern und ein gemeinsames Verständnis gewährleisten.

Simulation schädlichen Verhaltens und ATT&CK

Das Testen der Techniken in ATT&CK anhand der Umgebung ist die beste Methode, um:

• Kontrollen und ihre Wirksamkeit zu testen
• Die Abdeckung mithilfe verschiedener Techniken sicherzustellen
• Lücken bei Transparenz oder Schutz zu erkennen
• Die Konfiguration von Tools und Systemen zu validieren
• Zu demonstrieren, wo verschiedene Akteure erfolgreich sind oder in der Umgebung erwischt werden
• Vermutungen und Annahmen im Zusammenhang mit Kontrollen zu vermeiden, indem Sie genau wissen, was erkannt oder eingedämmt wurde und was nicht

Die Durchführung einer Simulation schädlichen Verhaltens ist in vielen Umgebungen nicht fremd. Wenn Organisationen Penetrationstester zum Testen der Umgebung einsetzen, beteiligen sie sich an Tests der Simulation von schädlichen Verhaltensweisen. Dasselbe gilt für Organisationen, die über interne Red Teams verfügen oder Purple Team-Aufgaben erfüllen. Durch die Anwendung der Aktivitäten in Rahmen dieser Aufgaben auf ATT&CK-Techniken können die Verteidiger die Ergebnisse besser verstehen. Statt der Meldung von Fehlern zur Erkennung bestimmter Aktivitäten können Berichte aus Penetrationstests und von Red Teams einen besseren Kontext enthalten, um ihre Aktivitäten direkt auf operative Kontrollen, Verteidigungstools und Verfahren anzuwenden. Dies macht es für Verteidiger einfacher, aufgrund der Berichte geeignete Maßnahmen zu ergreifen.

Simulationen können entwickelt werden, um Tools und Techniken zu spiegeln, die auch von bestimmten Akteuren verwendet werden. Dies kann besonders dann nützlich sein, wenn Sie versuchen zu beurteilen, wie erfolgreich bestimmte Gegner in Bezug auf die in der Umgebung vorhandenen Kontrollen sein könnten.

Darüber hinaus stehen Tools zur Verfügung, die Mechanismen zum Testen bestimmter Techniken direkt in der Umgebung bieten und bereits mit ATT&CK abgestimmt sind. Kommerzielle Tools wie Verodin, SafeBreach und AttackIQ sind in der Lage, auf ATT&CK ausgerichtete schädliche Verhaltensweisen zu simulieren. Darüber hinaus stehen einige an ATT&CK ausgerichtete Open Source-Optionen für die Simulation schädlichen Verhaltens zur Verfügung (siehe unten). Gehen Sie stets vorsichtig vor, wenn Sie schädliches Verhalten in Produktionsnetzwerken simulieren, in denen der Umfang potenzieller Auswirkungen nicht vollständig bekannt ist.

• MITRE Caldera
• Uber Metta
• Endgame Red Team Automation (RTA)
• Red Canary Atomic Red Team

Das Verfahren zur Nutzung dieser Tools ist unkompliziert:

1. Simulieren: Wählen Sie die Simulationskriterien basierend auf den gewünschten Tests und starten Sie dann das Tool oder führen Sie die Technik manuell aus.
2. Hunt: Überprüfen Sie die Protokolle und die Tool-Ausgabe auf Beweise für die simulierte Aktivität. Vermerken Sie nicht erfüllte Erwartungen bei aufdeckenden und präventiven Kontrollen.
3. Erkennen: Fügen Sie basierend auf den Ergebnissen neue Funde oder Entschärfungen hinzu. Notieren Sie außerdem Lücken bei der Transparenz oder bei den Tools, die zur Erkennung und Eindämmung eingesetzt werden.

Herausforderungen bei der Nutzung von ATT&CK

Die Verwendung von ATT&CK bringt auch Herausforderungen mit sich. Diese sollten bei der Nutzung von ATT&CK berücksichtigt werden.