O que é o MITRE ATT&CK e como ele é útil

O que pode ser feito com o ATT&CK

O ATT&CK é útil em diversos ambientes cotidianos. Quaisquer atividades defensivas que referenciem invasores e seus comportamentos podem se beneficiar da aplicação da taxonomia do ATT&CK. Além de oferecer um léxico comum para defensores cibernéticos, o ATT&CK também fornece uma base para testes de penetração e formação da equipe vermelha. Isso dá aos defensores e aos profissionais da equipe vermelha uma linguagem comum para se referir ao comportamento dos adversários.

Exemplos em que a aplicação da taxonomia do ATT&CK pode ser útil:

Uso do ATT&CK para mapear defesas e entender as brechas

A inclinação natural da maioria das equipes de segurança ao olhar para o MITRE ATT&CK é tentar desenvolver algum tipo de controle de detecção ou prevenção para cada técnica na matriz empresarial. Embora essa não seja uma ideia ruim, os detalhes do ATT&CK tornam essa abordagem um pouco perigosa se certas advertências não forem lembradas. As técnicas nas matrizes do ATT&CK geralmente podem ser executadas de várias maneiras. Portanto, bloquear ou detectar uma maneira única de executá-las não significa necessariamente que haja cobertura para todas as maneiras possíveis de executar essa técnica. Isto pode levar a uma falsa sensação de segurança, considerando que, porque uma ferramenta bloqueia uma forma de empregar uma técnica, a técnica é adequadamente coberta pela organização. No entanto, os invasores ainda podem empregar com sucesso outras formas de utilizar essa técnica sem qualquer detecção ou prevenção no local.

A forma de abordar essa questão é a seguinte:

• Sempre suponha que haja mais de uma maneira de executar uma técnica do ATT&CK
• Pesquise e teste maneiras conhecidas de executar técnicas específicas, medir a eficácia das ferramentas e a visibilidade em vigor
• Registre cuidadosamente os resultados dos testes para mostrar onde existem brechas para essa técnica e quais formas de utilizar essa técnica podem ser evitadas ou detectadas
• Observe quais ferramentas são eficazes em detecções específicas e observe as brechas onde não há nenhuma cobertura
• Mantenha-se atualizado com novas formas de executar técnicas e certifique-se de testá-las em relação ao ambiente para medir a cobertura

Por exemplo, se o antivírus detectar a presença de Mimikatz, isso não significa que o Pass the Hash (T1075) e Pass the Ticket (T1097) estão cobertos, pois ainda há várias outras maneiras de executar essas técnicas que não envolvem o uso de Mimikatz. Tenha isso em mente se estiver tentando usar o ATT&CK para mostrar a cobertura defensiva em uma organização.

Uso do ATT&CK com a inteligência contra ameaças cibernéticas

O ATT&CK podem ser útil para a inteligência contra ameaças cibernéticas, pois permite descrever comportamentos dos adversários de forma padrão. Os agentes podem ser rastreados com técnicas e táticas de associação no ATT&CK que já utilizam. Isso dá um roteiro para os defensores encontrarem nos seus controles operacionais os pontos fortes e fracos contra certos agentes. Criar entradas do navegador do MITRE ATT&CK para agentes específicos é uma boa maneira de visualizar os pontos fortes e fracos do ambiente contra esses agentes ou grupos. O ATT&CK também está disponível como um feed STIX/TAXII 2.0 o que facilita a inclusão em ferramentas existentes compatíveis com essas tecnologias.

O ATT&CK fornece detalhes sobre quase setenta agentes e grupos, incluindo as técnicas e ferramentas conhecidas por serem usadas com base em relatórios de código aberto.

Lista de grupos do MITRE ATT&CK

O processo de criação de inteligência pode se beneficiar do uso do próprio idioma comum do ATT&CK. Como mencionado, isso pode se aplicar a agentes e grupos, mas também pode se aplicar a comportamentos observados, como visto no SOC ou em atividades de resposta a incidentes. O malware também pode ser referido em termos de comportamentos por meio do ATT&CK. Quaisquer ferramentas de inteligência contra ameaças que têm suporte para o ATT&CK ajudam a simplificar esse processo. Inteligências comercial e de código aberto que aplicam o ATT&CK em qualquer comportamento mencionado também são úteis para manter as coisas consistentes. Disseminar inteligência para operações ou gerenciamento é, em último caso, muito mais fácil quando todas as partes falam o mesmo idioma em relação a comportamentos dos adversários. Se a equipe de operações souber exatamente o que é autenticação forçada e ver a expressão em um relatório de inteligência, ela poderá saber exatamente quais ações devem ser tomadas ou quais controles já estão em vigor em relação a essa parte da inteligência. A padronização das referências do ATT&CK em produtos de inteligência dessa forma pode melhorar drasticamente a eficiência e garantir a compreensão comum.

Simulação de adversários e ATT&CK

Testar as técnicas do ATT&CK em relação ao ambiente é a melhor maneira de:

• Testar os controles e sua eficácia
• Garantir a cobertura contra diferentes técnicas
• Entender brechas na visibilidade ou proteção
• Validar a configuração de ferramentas e sistemas
• Demonstrar onde diferentes atores seriam bem-sucedidos ou seriam envolvidos no ambiente
• Evitar palpites e suposições com controles, sabendo exatamente o que é detectado ou mitigado e o que não é

O processo de realização de simulação de adversários não é estranho a muitos ambientes. Ao empregar profissionais de teste de penetração para testar o ambiente, as organizações estão se envolvendo em testes de simulação de adversários. O mesmo se aplica a organizações que têm equipes vermelhas internas ou que realizam engajamentos de equipe roxas. A aplicação das atividades desses envolvimentos às técnicas do ATT&CK aumenta a compreensão dos resultados por parte dos defensores. Em vez de relatar falhas para detectar certas atividades, os relatórios de testes de penetração e as equipes vermelhas podem incluir melhor o contexto para aplicar suas atividades diretamente nos controles operacionais, ferramentas defensivas e procedimentos. Isso facilita na hora de os defensores tomarem as ações apropriadas como resultado dos relatórios.

As simulações podem ser criadas de forma a espelhar ferramentas e técnicas conhecidas por serem utilizadas por agentes específicos. Isso pode ser especialmente útil ao tentar avaliar o sucesso de determinados adversários em relação aos controles presentes no ambiente.

Além disso, existem ferramentas disponíveis que fornecem mecanismos para testar determinadas técnicas diretamente no ambiente e já estão alinhadas com o ATT&CK. Ferramentas comerciais como Verodin, SafeBreach e AttackIQ fornecem a capacidade de executar a simulação de adversários alinhada com o ATT&CK. Existem algumas opções de código aberto para fazer simulação de adversários e também alinhar com o ATT&CK (listadas abaixo). Como sempre, tome cuidado ao realizar simulações de adversários em redes de produção onde o escopo das ramificações potenciais não é totalmente compreendido.

• MITRE Caldera
• Uber Metta
• Endgame Red Team Automation (RTA)
• Red Canary Atomic Red Team

O processo para usar essas ferramentas é simples:

1. Simulação: escolha critérios de simulação com base no teste desejado e, em seguida, execute a ferramenta ou execute a técnica manualmente
2. Busca: examine os registros e a saída da ferramenta para comprovar a atividade simulada; observe as expectativas perdidas com controles de detecção e prevenção
3. Detecção: adicione novas detecções ou mitigações com base nos resultados; observe também quaisquer brechas de visibilidade e quaisquer ferramentas utilizadas para detecção ou mitigação

Desafios ao aproveitar o ATT&CK

Usar o ATT&CK é desafiador. É bom ter isso em mente ao aproveitar o ATT&CK.