چارچوب MITER ATT&CK: راهنمای جامع

چارچوب MITER ATT&CK یک مرکز دانش جهانی برای مستندسازی تاکتیک‌ها و تکنیک‌های مختلفی است که هکرها در مراحل مختلف حمله سایبری استفاده می‌کنند. شرکت MITER توسعه پایگاه داده را در سال 2013 آغاز کرد و در طول سال ها به منبعی کلیدی برای تیم های دفاع سایبری در ارزیابی آسیب پذیری ها و پروتکل های امنیتی تبدیل شد.

ATT&CK مخفف Adversarial Tactics, Techniques, and Common Knowledge است. این چارچوب ماتریسی از تکنیک های مختلف حمله سایبری است که بر اساس تاکتیک های مختلف مرتب و سازماندهی شده اند. علاوه بر این، ماتریس های مختلفی برای ویندوز، لینوکس، مک و سیستم های موبایل وجود دارد. استفاده از ماتریس MITER ATT&CK یک ابزار بسیار مفید برای دانستن اینکه هکرها از چه بردارهای حمله ای علیه شرکت شما استفاده می کنند و چگونه می توان طرح پاسخ به حادثه و آزمایش نفوذ خود را بهینه کرد.

MITRE ATT&CK Today

ماتریس ATT&CK یکی از کامل‌ترین و قطعی‌ترین منابع تکنیک‌های هکر امروزی است. برخی از آخرین تحولات و توسعه‌ها در چارچوب ATT&CK عبارتند از:

• بهبود و گسترش پوشش لینوکس و مک
• افزودن منابع داده بیشتر برای کمک به رشد ماتریس تقویت‌کننده پلتفرم ابری[19659] داده‌های ابری
• تصفیه و گسترش پایگاه‌داده حملات تلفن همراه
• بررسی تکنیک‌های حمله مبتنی بر کانتینر

MITRE بسیار متعهد است که ماتریس ATT&CK را به‌روز و جامع نگه دارد، و می‌توانید انتظار داشته باشید که اضافات و تغییراتی مطابق با ماهیت تهدیدات سایبری به طور مداوم تکامل می‌یابند.

MITRE ATT&CK Matrix: 5 تکنیک برتر

هدف اصلی چارچوب ATT&CK تقویت شناسایی پس از سازش عوامل مخربی است که شبکه‌ها، سیستم‌ها و داده‌های سازمانی را هدف قرار می‌دهند. هنگام استفاده از ATT&CK، سازمان‌ها در مورد اقداماتی که ممکن است یک مهاجم انجام دهد بینش پیدا می‌کنند. مواردی مانند نحوه ورود مهاجم به سیستم، نحوه حرکت آنها و مناطقی که آنها را هدف قرار داده اند آشکار می شوند.

پایگاه دانش برای پاسخ به سؤالات کلیدی در مورد اینکه چگونه هکرها ممکن است یک شرکت خاص را هدف قرار دهند و همچنین به وضعیت کلی امنیت سازمانی کمک کند، طراحی شده است. استفاده از ATT&CK به شناسایی حفره‌ها و آسیب‌پذیری‌ها کمک می‌کند و به شرکت‌ها کمک می‌کند سپس آنها را بر اساس ریسک کلی اولویت‌بندی کنند.

تکنیک های بسیار زیادی برای فهرست کردن در اینجا وجود دارد – به طور خاص بیش از 290 – اما در اینجا برخی از تاکتیک های برتر ATT&CK وجود دارد که مشاغل می توانند برای بهبود وضعیت کلی امنیت سایبری خود از آنها استفاده کنند.

1. Process Injection

یکی از رایج‌ترین اشکال حملات بدافزار در ماتریس، تزریق فرآیند شامل درج کد یا برنامه‌های فعال در سیستم برای اهداف مخرب است. سپس کد چندین کار را انجام می دهد، مانند غیرفعال کردن سیستم ها برای اهداف باج افزار یا سرقت خودکار داده ها. شبیه سازی تزریق فرآیند مکانی عالی برای شروع برای کاربران جدید ATT&CK است.

2. حملات PowerShell

حملات PowerShell بسیار محبوب در بین هکرها هستند زیرا این رابطی است که مدیران سیستم برای مدیریت و پیکربندی سیستم‌های عامل از آن استفاده می‌کنند. PowerShell یک پوسته خط فرمان است و زبان برنامه نویسی به طور پیش فرض روی ویندوز نصب شده است، بنابراین هر شرکتی که به ویندوز تکیه می کند باید قویاً استفاده از تمرینات PowerShell را با استفاده از MITER ATT&CK در نظر بگیرد.

3. احراز هویت اجباری

امروزه هکرها ابزارهای بسیار قدرتمندی دارند – مانند Mimikatz – که برای حدس زدن رمزهای عبور یا دور زدن فرآیندهای ورود و احراز هویت طراحی شده است. هکرها با فراخوانی یا وادار کردن کاربر به ارائه خودکار اطلاعات احراز هویت از طریق روش هایی مانند فیشینگ یا مهندسی اجتماعی، اطلاعات اعتبار را جمع آوری می کنند.

4. Masquerading

هکرها اغلب ویژگی‌های کد مخرب یا دیگر مصنوعات خود را تغییر می‌دهند تا قانونی و قابل اعتماد به نظر برسند. امضاهای کد، نام ها و محل فایل های بدافزار، نام وظایف و خدمات تنها چند نمونه هستند. انجام تمرینات MITER ATT&CK می تواند به شما کمک کند کشف کنید که چگونه هکرها ممکن است در سیستم شما ظاهر شوند و چگونه آنها را به طور مؤثرتری از بین ببرید.

5. Credential Dumping

هنگامی که دشمنان به یک سیستم دسترسی پیدا می کنند، یکی از اهداف اصلی آنها یافتن اعتبار برای دسترسی به منابع و سیستم های دیگر در محیط است. تخلیه اعتبار مکانیزمی کلیدی برای به دست آوردن اطلاعات ورود به حساب و رمز عبور است و آن را به یکی از تاکتیک‌های برتر برای استفاده در ماتریس ATT&CK برای محافظت در برابر دسترسی غیرمجاز تبدیل می‌کند. و بردارهایی برای آزمایش، شما آماده هستید تا ماتریس MITER ATT&CK را وارد عمل کنید. در اینجا بهترین راه‌هایی است که می‌توانید از ATT&CK استفاده کنید:

• استراتژی امنیت سایبری خود را برنامه‌ریزی کنید. دفاع خود را برای مقابله با تکنیک‌های شناخته شده بسازید و نظارت خود را برای شناسایی شواهد تکنیک‌های ATT&CK در شبکه خود مجهز کنید.
• به 19659039]تیم های واکنش به حادثه (IR). تیم IR شما می تواند از ATT&CK برای تعیین ماهیت تهدیدات بالقوه و روش های مورد نیاز برای کاهش آنها استفاده کند.
• مرجع برنامه ریزی IR آینده. تیم IR شما می تواند از ATT&CK به عنوان مرجعی برای تهدیدات جدید امنیت سایبری استفاده کند و از قبل برنامه ریزی کند.
• ارزیابی کلی دفاع سایبری. ATT&CK می‌تواند به شما کمک کند استراتژی کلی امنیت سایبری خود را ارزیابی کرده و شکاف‌هایی را که کشف می‌کنید برطرف کنید.

چالش‌ها و راه‌حل‌های MITRE ATT&CK 

هنگام استفاده از چارچوب ATT&CK، چندین چالش منحصر به فرد وجود دارد که باید آنها را حفظ کنید. چشم برای خوشبختانه، تاکتیک‌ها و راه‌حل‌هایی برای مسائلی مانند تمایز حملات از فعالیت‌های معمولی یا محاسبه بردارهای متعدد وجود دارد.

1. تشخیص حملات از فعالیت عادی

هر رفتاری که با تکنیک MITER ATT&CK مطابقت دارد، مخرب نیست. به عنوان مثال، حذف فایل، یک تکنیک فهرست شده تحت عنوان Defence Evasion است – که کاملاً منطقی است. اما چگونه می‌خواهید حذف‌های معمولی فایل‌ها را از تلاش‌های مهاجم برای فرار از شناسایی تشخیص دهید؟

اولین گام اجتماعی کردن و به اشتراک گذاشتن تکنیک‌های MITER ATT&CK به عنوان زبان مشترک برای تیم‌های امنیتی‌تان است. همچنین باید با یک شریک امنیت سایبری باتجربه و آشنا به چارچوب ATT&CK کار کنید تا به شما کمک کند فعالیت‌های عادی را از فعالیت‌های مخرب جدا کنید.

2. شناسایی حملات دشوار

به همین ترتیب، تشخیص برخی از تکنیک‌های ATT&CK حتی در یک روز خوب نیز دشوار است. حملات Brute Force به راحتی قابل تشخیص هستند اگر بدانید به دنبال چه چیزی باشید. Exfiltration از طریق پروتکل جایگزین ، مانند یک تونل DNS، حتی اگر به دنبال آن هستید، می تواند بسیار دشوار باشد.

توانایی کشف تکنیک‌هایی که یافتن آنها دشوار است، کلید استراتژی بلندمدت امنیت داده شما است. شما می خواهید از نرم افزارها و سناریوهای دنیای واقعی از لیست گروه ها استفاده کنید. اگر نمی توانید در برابر تهدیدات شناخته شده محافظت کنید، هیچ راهی وجود ندارد که بتوانید تهدیدات ناشناخته و دشوار را متوقف کنید.

3. Accounting for Multiple Attack Vectors

هرگز فرض نکنید که از آنجایی که می توانید در مقابل یک تکنیک به یک روش دفاع کنید، با اجرای متفاوت آن تکنیک که برای حمله به اهداف مشابه طراحی شده است، دچار مشکل نخواهید شد. فقط به این دلیل که آنتی ویروس شما "Mimikatz" را می گیرد، تصور نکنید که "tnykttns" را نیز می گیرد – یا هر نوع دیگری از Mimikatz که بعداً منتشر می شود. دفاع با ماتریس های MITER ATT&CK و پیاده سازی راه حل ها برای این شکاف ها. یکی از بزرگترین مزایای استفاده از MITER ATT&CK این است که ببینیم چگونه و از کجا هک ها ممکن است از زوایای مختلف، منابع و بردارها ایجاد شوند. درک چگونگی رفتار هکرها در صورت حمله. علاوه بر این، تاکتیک‌ها و تکنیک‌های خاصی را که احتمالاً استفاده می‌کنند تشخیص می‌دهید و تعیین می‌کنید که چگونه به بهترین نحو در برابر آن‌ها محافظت کنید. فرماندهی و کنترل خروج ضربه اسکن فعال زنجیره تامین سازش ربودن اجرای جریان رمز دسترسی دستکاری از راه دور session ربایی اطلاعات رمزگذاری و مبهم و تاریک کردن خودکار خروج داده تخریب یا دستکاری اطلاعات فیشینگ بهره برداری عمومی روبرو برنامه تزریق فرآیند مختل کلی دفاع داخلی فیشینگ ترافیک سیگنالینگ اطلاعات انتقال به حساب‌های ابری محرومیت از سرویس شبکه جمع‌آوری اطلاعات قربانی سازش درایو ایجاد یا اصلاح فرآیند سیستم 19U5907 احراز هویت جایگزین تونل زنی پروتکل انتقال داده های زمانبندی شده پاک کردن یا دفاع از دیسک

 

نمونه هایی از برخی از چارچوب های اصلی در تکنیک ها و تاکتیک های ATTber1ATTber1[1]ATTber1 و تاکتیک های ATTber1Cy9000CY9 و 19659077. 19659020]تفاوت اصلی بین ATT&CK و زنجیره کشتار سایبری معمولی این است که زنجیره کشتار بر ترتیب خاصی از عملیات متمرکز است، در حالی که ATT&CK حول تکنیک ها و تاکتیک ها متمرکز است. با این حال، موضوع مشترک این است که هر دوی آنها به دنبال درک این هستند که چگونه هکرها سعی می کنند بدون اینکه دستگیر شوند به سیستم نفوذ کرده و بر آنها تأثیر بگذارند. تیم قرمز یا مهاجمان در طول تمرین تست نفوذ، از شناسایی به نفوذ و وارد مراحل بعدی می شوند. برعکس، تیم قرمز از تکنیک‌های ATT&CK از تاکتیک‌های مختلف در زمان‌های مختلف سناریو بسته به موقعیت استفاده می‌کند.

یک سناریوی ATT&CK می‌تواند با یک افزودن سخت‌افزار از تاکتیک دسترسی اولیه شروع شود، سپس به دور زدن کنترل حساب کاربری از امتیاز بپرد. تاکتیک تشدید و بازگشت به تاکتیک Execution برای اجرای PowerShell.

ATT&CK تاکتیک‌های زیر را که در یک حمله سایبری استفاده می‌شود تعریف می‌کند:

• Initial Access
• Execution
• Execution
• Execution
• 659Defense
• 659Defense
• 6599108[8] 19659108]Credential Access
• Discovery
• Lateral Movement
• Collection
• Exfiltration
• Command and Control[19659191]C Command and Control[19659191[19659191] به شرح زیر iltration

یک استراتژی دفاع سایبری موفق، از چارچوب‌های زنجیره کشتار سایبری و ATT&CK برای تعیین آسیب‌پذیری‌ها و بهترین راه حل برای آنها استفاده می‌کند. مزایای اصلی برای مشاغل ابتدا، چارچوب لایه ای از عمق و دانه بندی را به تست نفوذ اضافه می کند. تیم‌های قرمز می‌توانند در طول تمرین‌های مختلف تست نفوذ، روی تکنیک‌ها، تاکتیک‌ها و بردارهای مختلف تمرکز کنند، که محدوده وسیعی از سطوح حمله احتمالی را پوشش می‌دهد. بنابراین، زمانی که تیم‌ها در مورد مواردی مانند خروج یا حرکت جانبی با یکدیگر ارتباط برقرار می‌کنند، اعضا به‌طور خاص می‌دانند که کدام تاکتیک‌ها تحت پوشش این چترها قرار دارند و می‌توانند برای کاهش و پیشگیری بهتر هماهنگ کنند. برنامه ها دانستن اینکه کدام تاکتیک‌های خاص که سازمان شما در برابر آن‌ها آسیب‌پذیرتر است، به کسب‌وکارها کمک می‌کند تا حفاظت‌های مناسب را به کار گیرند. به عنوان مثال، اگر آزمایش نفوذ شما با استفاده از ATT&CK نشان داد که مهندسی اجتماعی ممکن است رایج ترین باشد، می توانید برنامه های خود را حول آن بردار خاص توسعه دهید.

فهرست زیر از ابزارها و منابع مفید هنگام استفاده از چارچوب ATT&CK:

• Caldera – ابزار شبیه‌سازی تکنیک پیوست خودکار MITRE
• DatAlert 19659138 تهدیدات –19-11 Cascade – این مجموعه ابزار اتوماسیون تیم آبی MITRE است
• DatAdvantage – حسابرسی، و حفاظت از محیط‌های ترکیبی
• Oilrig – یک مدل ساخته شده بر روی Aadversary. 19659006]یکی از بهترین راه‌ها برای به حداکثر رساندن مزایایی که از ATT&CK دریافت می‌کنید، استفاده از آن در کنار پلتفرم حفاظت از داده و شریکی مانند Varonis است. انجام تست نفوذ با استفاده از چارچوب ATT&CK همچنین به شما اطلاع می‌دهد که از کدام تکنیک‌ها و تاکتیک‌های خاصی که احتمالاً هکرها استفاده می‌کنند، و همچنین احتمالاً رفتار آنها را مطلع می‌کند.

  چارچوب MITER ATT&CK کامل، جامع و همیشه در حال تغییر است. بنابراین، اگر علاقه مند به یادگیری بیشتر در مورد چگونگی بهبود تست نفوذ، خط مشی امنیت سایبری، یا طرح واکنش به حادثه با استفاده از ATT&CK هستید، امروز با یک متخصص در Varonis ارتباط برقرار کنید.