규칙이 IBM®
QRadar®에서 제공하는 MITRE ATT&CK 전술 및 기술의 적용 범위를 시각화하십시오. 룰 보고서를
구성한 후에는 다이어그램 및 히트 맵을 통해 데이터를 시각화하고
데이터를 노출하여 다른 사용자와 공유할 수 있습니다. 엔터프라이즈 및 산업 제어 시스템(ICS) 프레임워크가 지원되며, 두 프레임워크 간에 전환할 수 있습니다. 기본적으로 Enterprise가 사용되며, 사용자 환경설정 또는 필터 패널의 MITRE ATT&CK 섹션에서 ICS로 변경할 수 있습니다.
프로시저
- 보고서 시각화의 오른쪽 상단에 있는 를 클릭하십시오.
- MITRE ATT&CK 섹션의 필터에서 선택하십시오. 다음 옵션은 필터에 사용 가능합니다.
- 전술
- 목록에서 전술을 선택하십시오. 예를 들어, 초기 액세스 전술은 네트워크에 접속하려는 공격자에 의해 사용됩니다.
- 기술
- 기술 및 해당 하위 기술을 검색하거나 목록에서 해당 기술을 선택하십시오. 선택한 전술과 일치하도록 기술이 사전 필터링됩니다. 예를 들어, 공격자가 로컬 시스템 또는 도메인 계정 목록을 가져오려고 시도할 때 계정 감지 기술이 수행됩니다.
하위 기술은 ID에서 점으로 식별됩니다(예: "T1003.002 Security Account Manager"). 하위 기술은 상대가 목표를 달성하기 위해 사용하는 동작에 대한 보다 구체적인 설명을 제공합니다. 예를 들어 상대편이 Local Security Authority(LSA) 시크릿에 액세스하여 신임 정보를 덤핑할 수 있습니다.
- 맵핑 신뢰도
- 규칙 적용범위에 대한 특정 신뢰도 레벨이 지정된 맵핑을 표시합니다.
- 맵핑 사용
- 개별 룰에서 전략 또는 전술과 룰 사이의 맵핑이 설정되었는지 표시합니다. 사용되지 않는 맵핑은 기술 적용범위 히트 맵에 추가되지 않습니다.
- 필터를 사용하여 규칙 보고서를 업데이트하려면 필터 적용을 클릭하십시오.
- 히트 맵 시각화를 스크롤하여 QRadar Use Case
Manager에서 다루는 여러 기술을 확인하십시오.
각 기술 셀에서 이 숫자에 마우스를 올려놓아 기술에 맵핑된 룰 수를 표시한 후
셀에서 이 숫자를 클릭하여 기술에 대한 히트 맵 계산을 확인하십시오. 자세한 정보는
MITRE 히트 맵 계산의 내용을 참조하십시오.
- 셀의 화살표를 클릭하여 컬럼을 확장하고 기술에 대한 하위 기술을 표시하십시오. 하위 기술 셀에 마우스를 올려놓아 하위 기술에 맵핑된 룰 수를 확인한 후 이 숫자를 클릭하여 해당 하위 기술에 대한 히트 맵 계산을 확인하십시오.
자세한 정보는 MITRE 히트 맵 계산을 참조하십시오.
- 차트에서 레이블을 변경하려면 보고서 메뉴 표시줄에서 표시 옵션을 클릭하고 이름, 기술 ID 또는 기술 이름 및 ID에서 선택하십시오. 기본적으로 기술 이름이 표시됩니다.
- 현재 적용 범위 맵 및 보고서에 있는 규칙에 대한 맵핑만 보려면 보고서 메뉴 표시줄에서 보고서의 규칙에 기반한 적용 범위 옵션을 선택하십시오. 히트 맵에 있는 섹션을 클릭하고
필터 적용을 클릭하여 테이블 보고서에서 필터링된 목록을 업데이트하십시오.
- 상대 그룹 및 소프트웨어에서 사용 중인 MITRE 기술을 확인하려면 그룹 강조표시 및 소프트웨어 강조표시 목록에서 적절한 필터를 선택하십시오. 관련 그룹은 히트 맵에서 핑크 사이드바로 강조표시되고,
관련 소프트웨어는 보라색 사이드바로 강조표시됩니다.
- 엔터프라이즈 및 산업 제어 시스템(ICS) 프레임워크 간에 전환합니다. 엔터프라이즈에서 플랫폼별 필터링을 클릭하거나 ICS로 전환합니다. ICS(산업 제어 시스템) 프레임워크에서 엔터프라이즈로 전환을 클릭합니다.
- 필터에서 선택되는 기술만 보려면 키보드의 제어 키(Windows) 또는 명령 키(Mac)를 보유하고 히트 맵에서 관련 기술을 선택하십시오. 그런 다음 보고서 메뉴 표시줄에서 필터에 기술 표시 옵션을 선택하십시오. 기타
모든 필터는 히트 맵에서 숨겨집니다.
팁: 히트 맵에 기술 필터가 표시되지 않으면 필터 패널의 MITRE ATT&CK 섹션에 기술을 추가하거나 맵에서 기술을 선택하십시오.
- 각 전술 및 기술에 대한 하위 기술만 보려면 보고서 메뉴 표시줄에서 스택 아이콘(
)을 클릭하십시오.
- 히트 맵에서 필터링되는 플랫폼을 변경하려면 플랫폼별 필터링 을 클릭하고 사용자 환경 설정에서 선택사항을 변경하십시오.
기본적으로 히트 맵에는 다음 플랫폼의 전술, 기법 및 하위 기법이 표시됩니다: Linux®, macOS,
PRE, Windows.
필터 표시줄의 선택한 플랫폼 필터 태그는 선택할 수 없지만, 선택한 MITRE ATT&CK 플랫폼을 나타내며 보고서에 ATT&CK 관련 필터 또는 열이 포함될 때마다 추가됩니다. 선택한 플랫폼을 변경하려면 사용자 환경 설정을 수정하십시오. 자세한 내용은 사용자 환경설정 사용자 지정을 참조하세요.
- 다른 플랫폼의 전술, 기술 및 하위 기술에 대해 작업하려면 플랫폼별 필터 를 클릭하고 사용자 환경 설정에서 선택사항을 변경하십시오. 플랫폼을 변경하면 유스 케이스 탐색기 페이지 및 MITRE ATT & CK 맵핑 편집 페이지의 MITRE 필터 컨텐츠에도 영향을 미칩니다.
- 차트의 현재 표시를 PNG 이미지로 내보내려면 내보내기 아이콘(
)을 클릭합니다. 그런 다음 ' QRadar Use Case
Manager 액세스 권한이 없는 동료 또는 경영진과 이미지를 공유할 수 있습니다.
중요: 이미지로 내보내기 기능은 Mozilla Firefox에서 지원되지 않습니다. 대신 Google Chrome 또는 Microsoft Edge 브라우저를 사용하십시오.
- 보고서 시각화를 화면 너비로 펼치려면 보고서의 메뉴 표시줄에서 최대화 아이콘(
)을 클릭하십시오. 사용자가 원하는 크기로 시각화를 보려면 확대 또는 축소하십시오. 유스 케이스 탐색기로 돌아갈 때 확장된 창에서 적용하는 모든 필터링이 유지됩니다.
중요: Mozilla Firefox에서는 확대/축소 기능이 지원되지 않습니다. 브라우저 제어를
사용하여 축소/확대하십시오.
- 대시보드로 돌아가려면 보고서 시각화를 닫으십시오.