MITRE ATT&CK Framework

Jede MITRE ATT&CK-Taktik hat ein bestimmtes schädliches Ziel – etwas, das der Angreifer zu einem bestimmten Zeitpunkt erreichen möchte. Für jede Phase eines Cyberangriffs gibt es bestimmte ATT&CK-Taktiken. Zu den von der Enterprise Matrix abgedeckten ATT&CK-Taktiken gehören beispielsweise:

• Ausspähung: Sammeln von Informationen für die Planung eines Angriffs.
   

• Ressourcenentwicklung: Schaffen von Ressourcen zur Unterstützung von Angriffsoperationen.
   

• Erstzugriff: Eindringen in das Zielsystem oder -netzwerk.
   

• Ausführung: Ausführen von Malware oder schädlichem Programmcode auf dem gefährdeten System.
   

• Beharrlichkeit: Aufrechterhaltung des Zugriffs auf das kompromittierte System (im Falle eines Systemabschlusses oder einer Neukonfigurierung).
   

• Rechteausweitung: Erlangung höherer Zugriffsrechte oder Berechtigungen (z. B. Wechsel von Benutzer- zu Administratorrechten).
   

• Umgehung von Schutzmaßnahmen: Vermeiden, dass man erkannt wird, wenn man sich in einem System befindet.
   

• Zugriff auf Anmeldeinformationen: Diebstahl von Benutzernamen, Kennwörtern und anderen Anmeldeinformationen.
   

• Entdeckung: Auskundschaften der Zielumgebung, um herauszufinden, auf welche Ressourcen zugegriffen werden kann oder welche Ressourcen kontrolliert werden können, um einen geplanten Angriff zu unterstützen.
   

• Lateralbewegung: Zugriff auf zusätzliche Ressourcen innerhalb des Systems.
   

• Datenerfassung: Erfassung von Daten im Zusammenhang mit dem Angriffsziel (z. B. Daten, die im Rahmen eines Ransomware-Angriffs verschlüsselt oder übertragen werden sollen).
   

• Command and Control: Aufbau einer verdeckten/unauffindbaren Kommunikation, die es dem Angreifer ermöglicht, das System zu kontrollieren.
   

• Exfiltration: Diebstahl von Daten aus dem System.
   

• Folgen des Angriffs: Unterbrechung, Beschädigung, Deaktivierung oder Zerstörung von Daten oder Geschäftsprozessen.

Auch hier variieren die Taktiken und Techniken von Matrix zu Matrix (und von Submatrix zu Submatrix). So enthält die Mobile Matrix beispielsweise keine Ausspähungs- und Ressourcenentwicklungs-Taktiken, dafür aber andere Taktiken (Auswirkungen auf das Netz und Auswirkungen auf die Remote-Services), die in der Enterprise Matrix nicht enthalten sind.

Die MITRE ATT&CK-Taktiken stellen dar, was Angreifer erreichen wollen. Die MITRE ATT&CK-Techniken stellen hingegen dar, wie sie es erreichen wollen. Drive-by-Downloads und Spear-Phishing sind beispielsweise Arten von Erstzugriffstechniken, und die Verwendung von dateiloser Speicherung ist ein Beispiel für eine Technik zur Umgehung von Schutzmaßnahmen.

Die Wissensbasis enthält die folgenden Informationen zu jeder Technik:

• Eine Beschreibung und ein Überblick über die Technik.
   

• Alle bekannten Untertechniken, die mit dieser Technik verbunden sind. Die Phishing-Untertechniken umfassen beispielsweise Spear-Phishing-Anhänge, Spear-Phishing-Links und Spear-Phishing via Service. Bis jetzt hat MITRE ATT&CK 196 verschiedene Techniken und 411 Untertechniken dokumentiert.
   

• Beispiele für verwandte Verfahren. Dazu gehören die Art und Weise, wie Angreifergruppen die Technik einsetzen, oder die Arten von Schadsoftware, die zur Ausführung der Technik verwendet werden.
   

• Abhilfemaßnahmen. Sicherheitsverfahren (z. B. Benutzerschulungen) oder -software (z. B Antivirensoftware, Intrusion-Prevention-Systeme), die die Technik blockieren oder abwenden können.
   

• Erkennungsmethoden. In der Regel handelt es sich dabei um Protokolldaten oder Systemdatenquellen, die Sicherheitsteams oder Sicherheitssoftware überwachen können, um Beweise für den Einsatz der Technik zu finden.

MITRE ATT&CK unterstützt eine Reihe von Aktivitäten und Technologien, die Unternehmen zur Optimierung ihrer Sicherheitsabläufe und zur Verbesserung ihrer allgemeinen Sicherheitslage einsetzen.

Alert-Triage; Erkennung und Reaktion auf Bedrohungen. Die Informationen in MITRE ATT&CK sind äußerst wertvoll, um die Flut von sicherheitsrelevanten Alerts, die von Software und Geräten in einem typischen Unternehmensnetz erzeugt werden, durchzugehen und zu priorisieren. Tatsächlich können viele Sicherheitslösungen für Unternehmen – einschließlich SIEM (Security Information and Event Management), UEBA (User and Entity Behavior Analytics), EDR (Endpoint Detection and Response) und XDR (Extended Detection and Response) – Informationen von MITRE ATT&CK aufnehmen und zur Triage von Alerts, zur Anreicherung von Informationen über Cyberbedrohungen aus anderen Quellen, zur Verwendung von Incident-Response-Playbooks oder zur Auslösung von automatisierten Reaktionen auf Sicherheitsbedrohungen verwenden.

Bedrohungsjagd. Eine Bedrohungsjagd ist eine proaktive Sicherheitsübung, bei der Sicherheitsanalysten ihr Netz nach Bedrohungen durchsuchen, die bestehende Cybersicherheitsmaßnahmen nicht erkannt haben. Das MITRE ATT&CK Framework zu den Taktiken, Techniken und Verfahren von Angreifern bieten Hunderte von Informationen über den Beginn oder die Durchführung von Bedrohungsjagden.

Red Teaming/Adversary Emulation. Sicherheitsteams können die Informationen in MITRE ATT&CK nutzen, um Cyberangriffe realistisch zu simulieren. Diese Simulationen können die Wirksamkeit vorhandener Sicherheitsrichtlinien, -praktiken und -lösungen testen und dabei helfen, Schwachstellen zu erkennen, die behoben werden müssen.

Analyse von Sicherheitslücken und Security Operations Center (SOC) Reifegradbewertungen. Bei der Sicherheitslückenanalyse werden die bestehenden Cybersicherheitspraktiken und -technologien eines Unternehmens mit dem aktuellen Industriestandard verglichen. Bei einer SOC-Reifebewertung wird der Reifegrad des Security Operations Center (SOC) eines Unternehmens bewertet, und zwar basierend darauf, wie gut es Cyberbedrohungen oder Cyberangriffe mit minimalen oder gar keinen manuellen Eingriffen konsequent abwehren oder entschärfen kann. In jedem Fall können MITRE ATT&CK-Daten Unternehmen dabei helfen, diese Bewertungen unter Verwendung der neuesten Daten zu den Taktiken, Techniken und Abwehrmaßnahmen im Zusammenhang mit Cyberbedrohungen durchzuführen.

Wie MITRE ATT&CK modelliert auch die Cyber Kill Chain von Lockheed Martin Cyberangriffe als eine Reihe von Angriffstaktiken. Manche der Taktiken haben sogar die gleichen Namen. Doch hier enden die Gemeinsamkeiten auch schon.

Die Cyber Kill Chain ist eher ein deskriptives Framework und keine Wissensbasis. Sie ist deutlich weniger umfangreich als MITRE ATT&CK. Die Cyber Kill Chain umfasst nur sieben (7) Taktiken: Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command and Control, Actions on Objectives. Im Vergleich dazu umfasst MITRE ATT&CK 18 Taktiken (einschließlich mobiler und reiner ICS-Taktiken). Sie bietet keine eigenständigen Modelle für Angriffe auf Mobil- oder ICS-Plattformen. Der Umfang der Cyber Kill Chain reicht nicht an die detaillierten Informationen zu den Taktiken, Techniken und Verfahren in MITRE ATT&CK heran.

Ein weiterer wichtiger Unterschied: Die Cyber Kill Chain basiert auf der Annahme, dass jeder Cyberangriff die Taktiken nacheinander ausführen muss, um erfolgreich zu sein, und dass die Blockierung einer der Taktiken die Cyber-Angriffskette „unterbricht“ und den Angreifer daran hindert, sein Endziel zu erreichen. MITRE ATT&CK verfolgt diesen Ansatz nicht. Das Framework konzentriert sich darauf, Sicherheitsexperten dabei zu helfen, einzelne Angriffstaktiken und -techniken zu identifizieren und zu blockieren oder zu entschärfen, unabhängig davon, in welchem Kontext sie auftauchen.