Che cos'è MITRE ATT&CK e perché è utile

Cosa consente di fare ATT&CK?

ATT&CK è utile in diverse situazioni quotidiane. Qualsiasi attività di difesa correlata agli utenti malintenzionati e ai loro comportamenti non può che trarre vantaggio dall'applicazione della tassonomia di ATT&CK. Oltre a fornire un lessico comune per i difensori informatici, ATT&CK offre anche una base peri i test di penetrazione e il red teaming. Ciò consente ai difensori e ai membri del team rosso di utilizzare un linguaggio comune quando fanno riferimento ai comportamenti dell'avversario.

Esempi in cui l'applicazione della tassonomia di ATT&CK può risultare utile:

Utilizzare ATT&CK per mappare le difese e conoscere le lacune

La maggior parte dei team di sicurezza è naturalmente portato a pensare che con MITRE ATT&CK serva a tentare di sviluppare un qualche tipo di controllo di rilevamento o prevenzione per ciascuna tecnica della matrice Enterprise. Seppur non sbagliato, le sfumature di ATT&CK rendono tale approccio un po' pericoloso se non si tengono presenti alcune precisazioni. Le tecniche delle matrici di ATT&CK possono essere spesso implementate in diversi modi. Pertanto, il blocco o il rilevamento di un'unica modalità per realizzarle non significa necessariamente che esista una copertura per ogni possibile modo di realizzare quella tecnica. Ciò può portare a un falso senso di sicurezza in base al quale poiché uno strumento blocca una forma di utilizzo di una tecnica, tale tecnica è adeguatamente coperta per l'organizzazione Tuttavia, gli utenti malintenzionati possono utilizzare con successo altri modi per servirsi di tale tecnica senza che sia implementata alcuna misura di rilevamento o prevenzione.

Per risolvere questo problema, è necessario procedere come segue:

• Presupporre sempre che esista più di un modo per realizzare una tecnica di ATT&CK
• Ricercare e testare i modi noti per realizzare tecniche specifiche e misurare l'efficacia degli strumenti e la visibilità adottati
• Registrare con cura i risultati dei test per mostrare dove siano le lacune relative a tale tecnica e quali siano i modi di utilizzo di tale tecnica che è possibile impedire o rilevare
• Prendere nota di quali strumenti si dimostrino efficaci in rilevamenti specifici e delle lacune quando non esiste alcuna copertura
• Mantenersi aggiornati sui i nuovi modi di realizzare le tecniche e accertarsi di testarli nel contesto aziendale per misurarne la copertura

Ad esempio, se l'antivirus rileva la presenza di Mimikatz, ciò non significa che si è al riparo anche da Pass the Hash (T1075) e Pass the Ticket (T1097), poiché esistono svariati altri modi di realizzare queste tecniche che non comportano l'uso di Mimikatz. Tenere presente questo aspetto se si tenta di usare ATT&CK per mostrare la copertura difensiva di un'organizzazione.

Utilizzo di ATT&CK con la Cyber Threat Intelligence

ATT&CK può risultare utile per la Cyber Threat Intelligence poiché consente di descrivere i comportamenti degli avversari in un modo standard. Gli autori possono essere tracciati in quanto associabili alle tecniche e tattiche presenti in ATT&CK utilizzate in precedenza. Ciò fornisce ai difensori una roadmap da poter applicare nei loro controlli operativi per valutare i punti deboli rispetto a determinati autori e i punti di forza. La creazione di voci MITRE ATT&CK Navigator per specifici autori consente di visualizzare i punti forti e deboli dell'ambiente rispetto a tali autori o gruppi. ATT&CK è anche disponibile come feed STIX/TAXII 2.0 che facilita l'inserimento negli strumenti attuali che supportano tali tecnologie.

ATT&CK fornisce dettagli su circa settanta autori o gruppi, incluse le tecniche e gli strumenti che questi utilizzano in base al reporting open source.

Elenco dei gruppi MITRE ATT&CK

Il processo stesso di creazione dell'intelligence può trarre vantaggio dall'utilizzo del dialetto comune di ATT&CK. Come accennato, ciò può essere applicato ad autori e gruppi, ma può anche essere applicato ai comportamenti osservati dalla SOC o alle attività di risposta agli incidenti. Si può anche far riferimento al malware in termini di comportamenti tramite ATT&CK. Tutti gli strumenti di Threat Intelligence che supportano ATT&CK aiutano a semplificare questo processo. Anche l'intelligence commerciale e open source che applica ATT&CK a qualsiasi comportamento menzionato è utile a mantenere la coerenza. Diffondere l'intelligence alle operazioni o alla gestione è in definitiva molto più semplice quando tutte le parti usano la stessa lingua quando parlano di comportamenti avversari. Se le operazioni sanno esattamente che cos'è l'autenticazione forzata e la vedono menzionata in un report di intelligence, possono sapere esattamente quali azioni devono essere intraprese o quali controlli sono già in atto per quel componente di intelligence. Questa standardizzazione dei riferimenti ATT&CK nei prodotti di intelligence può migliorare notevolmente l'efficienza e garantire una comprensione comune.

Simulazione dell'avversario e ATT&CK

Testare le tecniche in ATT&CK nel contesto aziendale è il modo migliore per:

• Testare i controlli e la loro efficacia
• Garantire la copertura contro le diverse tecniche
• Comprendere le lacune in termini di visibilità o protezione
• Convalidare la configurazione di strumenti e sistemi
• Dimostrare in che modo diversi autori potrebbero avere successo o essere catturati nell'ambiente
• Evitare supposizioni con i controlli sapendo invece esattamente cosa viene o non viene rilevato o mitigato

Il processo di esecuzione della simulazione avversaria non è estraneo a molti ambienti. Quando si utilizzano i tester di penetrazione per testare l'ambiente, le organizzazioni si impegnano in test di simulazione avversari. Lo stesso vale per le organizzazioni che hanno team rossi interni o che eseguono interazioni di team viola. L'applicazione delle attività di queste interazioni alle tecniche ATT&CK migliora la comprensione dei risultati da parte dei difensori. Invece di segnalare gli errori per rilevare determinate attività, i report dei test di penetrazione e dei team rossi possono contenere un contesto migliore per applicare le loro attività direttamente ai controlli operativi, agli strumenti difensivi e alle procedure. In questo modo, i difensori possono intraprendere azioni appropriate in base ai report.

Le simulazioni possono essere progettate anche per rispecchiare strumenti e tecniche noti utilizzati da autori specifici. Ciò può essere particolarmente utile quando si tenta di valutare il successo di determinati avversari rispetto ai controlli presenti nell'ambiente.

Inoltre, sono disponibili strumenti che forniscono meccanismi per testare determinate tecniche direttamente all'interno dell'ambiente e sono già allineati con ATT&CK. Strumenti commerciali come Verodin, SafeBreach e AttackIQ offrono la possibilità di eseguire una simulazione degli avversari allineata con ATT&CK. Esistono alcune opzioni open source per eseguire la simulazione avversaria e anche per allinearsi con ATT&CK (elencate di seguito). Come sempre, prestare attenzione durante l'esecuzione di simulazioni avversarie sulle reti di produzione in cui non si è in grado di comprendere del tutto la portata delle potenziali conseguenze.

• MITRE Caldera
• Uber Metta
• Endgame Red Team Automation (RTA)
• Red Canary Atomic Red Team

Il processo di utilizzo di questi strumenti è semplice:

1. Simulazione: scegliere i criteri di simulazione in base al test desiderato, quindi eseguire lo strumento oppure applicare la tecnica manualmente.
2. Ricerca: esaminare i registri o i risultati degli strumenti per verificare l'attività simulata; annotare le aspettative mancanti con i controlli preventivi o di rilevamento
3. Rilevamento: aggiungere nuovi rilevamenti o mitigazioni in base ai risultati; prendere nota anche di eventuali lacune in termini di visibilità e degli strumenti utilizzati per il rilevamento o la mitigazione

Problemi nell'utilizzo di ATT&CK

L'utilizzo di ATT&CK non è privo di problemi che è bene tener presente.