Visualizando a cobertura de táticas e técnicas do MITRE em seu ambiente

Visualize a cobertura das táticas e técnicas MITRE ATT&CK que as regras proporcionam no IBM® QRadar®. Depois de organizar o relatório de regra, é possível visualizar os dados por meio de diagramas e mapas de utilização e exportar os dados para compartilhar com outros. As estruturas Enterprise e Industry Control Systems (ICS) são compatíveis, e você pode alternar entre as duas. Por padrão, o Enterprise é usado, e você pode mudar para ICS nas Preferências do usuário ou na seção MITRE ATT&CK do painel de filtros.

1. Clique em Ações de ATT e CK > Mapa de cobertura e relatório na parte superior direita da visualização de relatórios
2. Selecione a partir dos filtros na seção MITRE ATT&CK. As opções a seguir estão disponíveis para filtragem:

   Táticas

   Selecione táticas na lista. Por exemplo, uma tática de Acesso inicial é usada por adversários que estão tentando entrar em sua rede.

   Técnica

   Procure técnicas e suas subtécnicas ou selecione-as da lista. As técnicas são pré-filtradas para corresponder à tática selecionada. Por exemplo, uma técnica de Descoberta de conta ocorre quando os adversários tentam obter uma lista de suas contas do sistema local ou do domínio.

   As subtécnicas são identificadas por um ponto no ID, como "T1003.002 Security Account Manager". Sub-técnicas fornecem uma descrição mais específica do comportamento que um adversário usa para atingir seu objetivo. Por exemplo, um adversário pode fazer dump de credenciais acessando os Segredos da Autoridade de Segurança Local (LSA).

   Mapeamento de confiança

   Indica mapeamentos aos quais é designado um nível específico de confiança para a cobertura de regra.

   Mapeamento ativado

   Indica para cada regra se o mapeamento entre a tática ou a técnica e as regras está ativado. Os mapeamentos não ativados não são incluídos no mapa de utilização de cobertura de técnica.

3. Para atualizar o relatório de regras com seus filtros, clique em Aplicar Filtros.
4. Role pela visualização do mapa de utilização para ver as diferentes técnicas que são cobertas pelo QRadar Use Case Manager O número no cabeçalho do gráfico indica o número de regras que são mapeadas por tática. (Esse número pode ser maior que a soma do número de mapeamentos das técnicas dele porque os mapeamentos são feitos diretamente para a tática, não para a técnica.)
   Passe o mouse sobre o número em cada célula de técnica para ver o número que regras que são mapeadas para a técnica e, em seguida, clique no número na célula para ver o cálculo do mapa de utilização para a técnica. Para obter mais informações, consulte Cálculos do mapa de calor do MITRE.
5. Clique na seta na célula para expandir as colunas para exibir as sub-técnicas para a técnica. Passe o mouse sobre a célula de subtécnica para ver o número de regras que são mapeadas para a subtécnica e, em seguida, clique no número para ver o cálculo do mapa de utilização para essa subtécnica. Para obter mais informações, consulte Cálculos do mapa de utilização do MITRE.
6. Para alterar a rotulagem no gráfico, clique na opção Mostrar na barra de menus do relatório e selecione a partir de nomes, IDs de técnica ou nomes e IDs de técnica. Por padrão, os nomes das técnicas são exibidos.
7. Para ver apenas os mapeamentos para regras que estão atualmente no mapa de cobertura e relatório, selecione a opção Cobertura baseada em regras in report na barra de menus do relatório. Clique em qualquer seção no mapa de utilização e, em seguida, clique em Aplicar filtros para atualizar a lista filtrada no relatório da tabela.
8. Para ver quais técnicas do MITRE estão sendo usadas por grupos adversários e software, selecione os filtros apropriados das listas Grupos de destaque e Software de destaque. Os grupos relevantes são destacados no mapa de utilização por barras laterais rosas e os softwares relevantes são destacados por barras laterais roxas.
9. Alternar entre as estruturas Enterprise e Industry Control Systems (ICS). No Enterprise, clique em Filter by platform (Filtrar por plataforma) ou alterne para ICS. Na estrutura do Industry Control Systems (ICS), clique em Switch to Enterprise.
10. Para ver somente as técnicas selecionadas no filtro, segure a tecla Control (no Windows) ou a tecla de comando (no Mac) do seu teclado e selecione as técnicas relevantes no mapa de calor. Em seguida, selecione a opção Mostrar técnicas em filtro na barra de menus do relatório. Todos os outros filtros são ocultos no mapa de utilização.
    Dica: se você não vir nenhum filtro de técnica no mapa de calor, inclua técnicas na seção MITRE ATT&CK do painel do filtro ou selecione técnicas no mapa.
11. Para ver apenas as sub-técnicas para cada tática e técnica, clique no ícone de pilha ( ) na barra de menus do relatório.
12. Para alterar as plataformas que são filtradas no mapa de calor, clique em Filtrar por plataforma e altere a seleção em suas preferências do usuário.
    Por padrão, o mapa de calor mostra táticas, técnicas e subtécnicas das seguintes plataformas: Linux®, macOS, PRE e Windows.

    A tag de filtro Plataformas selecionadas na barra de filtro não é selecionável, mas representa as plataformas MITRE ATT&CK selecionadas, e é incluída sempre que o relatório inclui filtros ou colunas relacionados a ATT&CK. Para mudar as plataformas selecionadas, modifique suas preferências do usuário. Para obter mais informações, consulte Personalização das preferências do usuário.

13. Para trabalhar com táticas, técnicas e sub-técnicas de outras plataformas, clique em Filtrar por plataforma e alterar a seleção em suas preferências do usuário. A mudança da plataforma também afeta o conteúdo dos filtros MITRE na página Use Case Explorer e a página de edição MITRE ATT & CK Mappings .
14. Para exportar a exibição atual do gráfico como uma imagem PNG, clique no ícone de exportação (). Em seguida, você pode compartilhar a imagem com colegas ou executivos que não têm acesso ao ' QRadar Use Case Manager.
    Importante: o recurso exportar como uma imagem não é suportado no Mozilla Firefox. Use os navegadores Google Chrome ou Microsoft Edge no lugar.
15. Para expandir a visualização do relatório para a largura de sua tela, clique no ícone maximizar () na barra de menus do relatório. Aumente ou diminua o zoom para ver a visualização no tamanho desejado. Qualquer filtragem aplicada na janela expandida é mantida quando você retorna a Usar o Case Explorer.
    Importante: o recurso de zoom não é suportado no Mozilla Firefox. Use o controle do navegador para aumentar e diminuir o zoom.
16. Feche a visualização do relatório para retornar ao painel.