Odwzorowanie i wizualizacja MITRE ATT & CK
Struktura MITRE ATT & CK reprezentuje taktykę przeciwnika, która jest używana w ataku bezpieczeństwa. Dokumentuje wspólne taktyki, techniki i procedury, które mogą być używane w zaawansowanych, uporczywych zagrożeniach dla sieci korporacyjnych.
W strukturze MITRE ATT & CK reprezentowane są następujące fazy ataku:
MITRE ATT & CK Tactic | Opis |
---|---|
Kolekcja | Zbierz dane. |
Komenda i sterowanie | Systemy sterowane kontaktem. |
Dostęp do informacji autoryzacyjnych | Kradzież informacji o logowaniu i haśle. |
Uchylanie się od obrony | Należy unikać wykrywania. |
Danych | Odkryj swoje środowisko. |
wykonywanie | Uruchom szkodliwy kod. |
Eksfiltracja | Kradzież danych. |
Efekty | Próbuje manipulować, przerywać lub niszczyć systemy i dane. |
Dostęp początkowy | Uzyskaj dostęp do swojego środowiska. |
Ruch poprzeczny | Przejdź przez środowisko. |
trwałość | Zachować podnóże. |
Eskalacja uprawnień | Uzyskaj uprawnienia wyższego poziomu. |
Rozpoznanie | Zgromadź informacje, które będą używane w przyszłych szkodliwych operacjach. Ta taktyka jest wyświetlana w raportach MITRE tylko wtedy, gdy w preferencjach użytkownika wybrano platformę PRE. |
Projektowanie zasobów | Ustanawianie zasobów do obsługi szkodliwych operacji. Ta taktyka jest wyświetlana w raportach MITRE tylko wtedy, gdy w preferencjach użytkownika wybrano platformę PRE. |
Taktyka, techniki i podtechniki
Taktyka reprezentuje cel techniki lub podtechniki ATT & CK. Na przykład przeciwnik może chcieć uzyskać dostęp do informacji autoryzacyjnych w sieci.
Techniki reprezentują sposób, w jaki przeciwnik osiąga swój cel. Na przykład przeciwnik może zrzucić referencje, aby uzyskać dostęp do informacji autoryzacyjnych w sieci.
Podtechniki udostępniają bardziej szczegółowy opis zachowania, którego przeciwnik używa do osiągnięcia swojego celu. Na przykład przeciwnik może zrzucić referencje, uzyskując dostęp do danych niejawnych lokalnego urzędu zabezpieczeń (Local Security Authority-LSA).
Przepływ pracy dla odwzorowania i wizualizacji MITRE ATT & CK
Utwórz własne odwzorowania reguł i elementów składowych w programie IBM® QRadar® Use Case Managerlub zmodyfikuj domyślne odwzorowania IBM QRadar , aby odwzorować reguły niestandardowe i elementy składowe na konkretne taktyki i techniki.
Oszczędzaj czas i nakład pracy, edytując wiele reguł lub elementów składowych w tym samym czasie oraz współużytkując pliki odwzorowania reguł między instancjami QRadar . Wyeksportuj odwzorowania MITRE (niestandardowe i domyślne dla IBM ) jako kopię zapasową niestandardowych odwzorowań MITRE na wypadek, gdyby aplikacja została zdeinstalowana, a następnie zdecyduj się na ponowną instalację. Więcej informacji na ten temat zawiera sekcja Deinstalowanie produktu QRadar Use Case Manager.
Po zakończeniu odwzorowywania reguł i elementów składowych należy zorganizować raport reguł, a następnie zwizualizować dane za pomocą diagramów i map natężeń. Bieżące i potencjalne dane pokrycia MITRE są dostępne w następujących raportach: raport Wykryte w przedziale czasu , Mapa pokrycia i raportoraz Podsumowanie i trend pokrycia.