Cos'è MITRE ATT&CK ed in che modo è utile

Cosa si può fare con ATT&CK

ATT&CK risulta prezioso in svariate situazioni di tutti i giorni. Qualsiasi attività difensiva che abbia come bersaglio gli aggressori e i loro comportamenti può trarre vantaggio dall'applicazione della tassonomia di ATT&CK. Oltre a fornire un lessico comune per i difensori cibernetici, ATT&CK offre anche una base per la realizzazione dei test di penetrazione e del red teaming. Ciò offre ai difensori e ai membri del red team un linguaggio comune quando fanno riferimento ai comportamenti dell'avversario.

Possono risultare utili degli esempi di applicazione della tassonomia di ATT&CK:

Usare ATT&CK per mappare le difese e conoscere le falle

L'inclinazione naturale della maggior parte dei team di sicurezza quando guarda a MITRE ATT&CK è di tentare di sviluppare un qualche tipo di controllo di rilevamento o prevenzione per ciascuna tecnica della tabella aziendale. Sebbene questa non sia una cattiva idea, le sfumature di ATT&CK rendono tale approccio un po' pericoloso se non si tengono presenti alcune avvertenze. Le tecniche delle tabelle di ATT&CK spesso possono essere realizzate in svariati modi. Pertanto, il blocco o il rilevamento di un unico modo per realizzarle non significa necessariamente che esista una copertura per ogni possibile modo per realizzare tale tecnica. Ciò può portare a un falso senso di sicurezza in base al quale poiché uno strumento blocca una forma di utilizzo di una tecnica, tale tecnica è adeguatamente coperta per l'organizzazione. Tuttavia, gli aggressori possono utilizzare con successo altri modi di servirsi di tale tecnica senza alcun rilevamento in essere.

Per risolvere tale problematica, occorre procedere come segue:

• Presupporre sempre che esista più di un modo per realizzare una tecnica di ATT&CK
• Ricercare e testare i modi noti di realizzare tecniche specifiche e misurare l'efficacia degli strumenti e la visibilità in essere
• Registrare con cura i risultati dei test per mostrare dove siano le lacune relative a tale tecnica e quali siano i modi di utilizzo di tale tecnica che è possibile impedire o rilevare
• Prendere nota di quali strumenti si dimostrino efficaci in rilevamenti specifici e delle lacune quando non esiste alcuna copertura
• Mantenersi aggiornati con i nuovi modi di realizzare le tecniche e accertarsi di testarli confrontandoli con l'ambiente per misurare la copertura

Ad esempio, se l'antivirus rileva la presenza di Mimikatz, ciò non significa che sarete al riparo anche da Pass the Hash (T1075) e Pass the Ticket (T1097), poiché esistono svariati altri modi di realizzare queste tecniche che non comportano l'uso di Mimikatz. Importante tener presente ciò se si tenta di usare ATT&CK per dimostrare la copertura difensiva di un'organizzazione.

Uso di ATT&CK con Threat intelligence informatica

ATT&CK può risultare utile per la Threat intelligence informatica, poiché consente di descrivere i comportamenti degli avversari in modo standard. Gli autori possono essere tracciati con associazioni alle tecniche e tattiche presenti in ATT&CK e che sono noti di aver utilizzato in precedenza. Ciò fornisce ai difensori una mappa da poter applicare confrontandola ai loro controlli operativi per vedere dove siano i punti deboli a fronte di determinati singoli e dove invece siano i punti di forza. La creazione di voci del navigatore MITRE ATT&CK per singoli specifici è un buon modo per visualizzare i punti di forza e i punti deboli dell'ambiente rispetto a quelli di singoli o gruppi. ATT&CK è anche disponibile come STIX/TAXII 2.0 feed che facilita l'assimilazione negli strumenti attuali che supportano tali tecnologie.

ATT&CK fornisce dettagli praticamente su tutti i singoli e i gruppi, incluso su quali tecniche e strumenti questi sono soliti usare in base al reporting open source.

Elenco gruppi di MITRE ATT&CK

Il processo di creazione di informazioni stesso può trarre vantaggio dall'uso del gergo comune di ATT&CK. Come già detto, ciò può valere per singoli e gruppi, ma anche per i comportamenti osservati così come sono visti dal SOC o dalle attività di risposta agli incidenti. Il malware può anch'esso essere considerato in termini di comportamenti via ATT&CK. Qualsiasi strumento di Threat intelligence che disponga di supporto per ATT&CK contribuisce a semplificare questo processo. Anche le informazioni commerciali e open source che applicano ATT&CK a uno qualsiasi dei citati comportamenti sono utili per mantenere l'uniformità. La distribuzione di informazioni alle operazioni o alla gestione è in definitiva molto più facile quando tutte le parti utilizzano lo stesso linguaggio sui comportamenti degli avversari. Se le operazioni sanno esattamente cosa sia l'autenticazione forzata e la vedono citata in un report informativo, potrebbero sapere esattamente quali azioni occorre intraprendere o quali controlli sono già in essere in relazione a tali informazioni. Questa standardizzazione sui riferimenti di ATT&CK nei prodotti informativi può notevolmente migliorare l'efficienza e garantire una comprensione comune.

Simulazione dell'avversario e ATT&CK

La realizzazione di test sulle tecniche di ATT&CK rispetto all'ambiente è il modo migliore di:

• Testare i controlli e la loro efficacia
• Garantire copertura a fronte di tecniche diverse
• Comprendere le lacune di visibilità o protezione
• Convalidare la configurazione di strumenti e sistemi
• Dimostrare dove i vari singoli potrebbero riuscire o restare intrappolati nell'ambiente
• Evitare ipotesi e supposizioni con i controlli sapendo esattamente cosa si rileva o si mitiga e cosa no

Il processo di realizzazione della simulazione dell'avversario non è estraneo a molti ambienti. Quando si utilizzano test di penetrazione per testare l'ambiente, le organizzazioni si impegnano in test di simulazione dell'avversario. Lo stesso vale per le organizzazioni che dispongono di red team interni o che realizzano attività di purple teaming. L'applicazione delle attività di tali ingaggi alle tecniche di ATT&CK aumenta la comprensione dei risultati da parte dei difensori. Invece di segnalare i mancati rilevamenti di determinate attività, il reporting da test di penetrazione e red team può contenere un contesto migliore per applicare le loro attività direttamente ai controlli operativi, agli strumenti difensivi e alle procedure. Ciò facilita ai difensori il compito di implementare le azioni idonee in conseguenza dei report.

Le simulazioni possono essere progettate inoltre per rispecchiare strumenti e tecniche che autori specifici notoriamente usano. Ciò può risultare particolarmente utile quando si tenta di valutare il livello di riuscita che potrebbero avere determinati avversari a fronte dei controlli presenti nell'ambiente.

Inoltre, sono disponibili strumenti che forniscono dei meccanismi per testare determinate tecniche direttamente all'interno dell'ambiente e sono già allineati con ATT&CK. Strumenti commerciali quali Verodin, SafeBreach e AttackIQ forniscono la capacità di realizzare simulazioni dell'avversario allineate con ATT&CK. Esistono alcune opzioni open source per realizzare la simulazione dell'avversario e anche allinearla con ATT&CK (elencate di seguito). Come sempre, occorre essere cauti quando si realizzano simulazioni degli avversari su reti di produzione in cui non è ancora del tutto chiara la portata di possibili ramificazioni.

• MITRE Caldera
• Uber Metta
• Endgame Red Team Automation (RTA)
• Red Canary Atomic Red Team

Il processo per servirsi di questi strumenti è semplice:

1. Simulare - Scegliere i criteri di simulazione in base al test desiderato, quindi eseguire lo strumento o realizzare manualmente la tecnica
2. Cacciare - Esaminare i registri e i risultati dello strumento andando in cerca delle prove dell'attività simulata; prendere nota di aspettative mancate con controlli di rilevamento o prevenzione
3. Rilevare - Aggiungere nuovi rilevamenti o mitigazioni in base ai risultati; prendere inoltre nota di eventuali lacune di visibilità e degli eventuali strumenti usati per il rilevamento o la mitigazione

Sfide nell'utilizzo di ATT&CK

L'uso di ATT&CK non è privo di sfide. Sarà bene tenerlo presente quando si utilizza ATT&CK.

Riepilogo

MITRE ha apportato un contributo notevole alla community della sicurezza offrendoci ATT&CK e i relativi strumenti e risorse. Non poteva arrivare in un momento migliore. Man mano che gli aggressori trovano nuovi modi per rendersi più invisibili ed evitare il rilevamento mediante strumenti di sicurezza tradizionali, i difensori si trovano a dover cambiare il modo in cui approcciano il rilevamento e la difesa. ATT&CK sposta la nostra percezione dagli indicatori di livello basso quali gli indirizzi IP e i nomi di dominio e ci fa vedere gli aggressori e le nostre difese attraverso l'obiettivo dei comportamenti. Questa nuova concezione non significa tuttavia che i risultati arriveranno senza sforzo. Sono finiti i bei tempi delle liste di blocchi e dei filtri semplici. La strada del rilevamento e della prevenzione dei comportamenti è un percorso molto più difficile degli strumenti 'mordi e fuggi'. Inoltre, gli aggressori si staranno sicuramente adattando man mano che i difensori mettono in opera nuove competenze. ATT&CK fornisce un modo per descrivere qualunque nuova tecnica essi sviluppino e si spera che i difensori stiano al passo.