CISA, MITRE Nézze meg, hogy az ATT&CK keretrendszert kivonja a gazból

Az Egyesült Államok Kiberbiztonsági és Infrastruktúra-biztonsági Ügynöksége (CISA) elindította a Decidert, egy ingyenes eszközt, amellyel a kiberbiztonsági közösség könnyebben leképezheti a fenyegetések szereplői viselkedését a MITER ATT&CK keretrendszerre.

Az US Homeland Security Systems Engineering and Development Institute (HSSEDI) és a MITRE együttműködésével készült Decider egy webes alkalmazás, amelyet a szervezetek letölthetnek és tárolhatnak saját infrastruktúrájukon belül, így a felhőn keresztül számos felhasználó számára elérhetővé teszik. Célja, hogy leegyszerűsítse a keretrendszer pontos és hatékony használatának gyakran megterhelő folyamatát, valamint megnyitja a használatát az elemzők előtt az adott kiberbiztonsági szervezet minden szintjén.

ATT&CK: Komplex keretrendszer

Az ATT&CK úgy lett kialakítva segít a biztonsági elemzőknek meghatározza, hogy a támadók mit próbálnak elérni, és meddig tartanak a folyamatban (azaz létrehozzák-e a kezdeti hozzáférést? Oldalirányban mozognak? Adatok kiszűrése?) Ezt ismert kibertámadási technikák és altechnikák segítségével teszi, amelyeket rendszeresen meghatároznak és frissítenek. MITRE, hogy az elemzők feltérképezhetik, mit is látnak a saját környezetükben.

A cél a rosszfiúk következő lépéseinek előrejelzése és a támadások mielőbbi leállítása. A keretrendszer számos biztonsági eszközbe is beépíthető, és szabványos nyelvet biztosít a társakkal és az érdekelt felekkel való kommunikációhoz az incidensekre adott válaszok és a törvényszéki vizsgálatok során.

Ez mind szép és jó, de a probléma az, hogy a keret köztudottan összetett, és gyakran magas szintű képzést és szakértelmet igényel például a megfelelő leképezések kiválasztásához. Az is folyamatosan bővül, beleértve a vállalati támadásokon túl az ipari vezérlőrendszerek (ICS) fenyegetéseinek beépítését és a mobil táj, növelve a bonyolultságot. Összességében ez egy kiterjedt adathalmaz a navigáláshoz – és a kibervédők gyakran a gazba kötnek, amikor megpróbálják használni.

„Rengeteg technika és résztechnika áll rendelkezésre, amelyek nagyon beavatkozhatnak és nagyon technikai jellegűek, és gyakran az elemzők túlterheltek, vagy ez egy kicsit lelassítja őket, mert nem feltétlenül tudják, hogy az al- az általuk választott technika a megfelelő” – mondja James Stanley, a CISA részlegvezetője, megjegyezve, hogy gyakoriak az eszköz használatával kapcsolatos hibás leképezések miatti panaszok.

„Amikor felkeresi a webhelyet, rengeteg információ van előtte, és ez gyorsan ijesztővé válik. A Decider eszköz valójában egyszerűbb nyelvezetűvé teszi az elemzők számára, függetlenül a szakértelem szintjétől” – mondja. „Több útmutatást akartunk adni érdekelt feleinknek a keretrendszer használatához, és elérhetővé akartuk tenni azt, mondjuk, fiatal elemzők számára, akik számára előnyös lehet a valós idejű használat például az éjszakai incidensekre adott válaszok során.”

Tágabb értelemben a CISA és a MITER hittérítői úgy vélik, hogy az ATT&CK szélesebb körű használata – amint azt a Decider ösztönzi – jobb, hatékonyabb fenyegetésekkel kapcsolatos hírszerzéshez és jobb kibervédelmi eredményekhez vezet.

„A CISA-nál valóban arra szeretnénk fektetni a hangsúlyt, hogy a fenyegetési intelligencia segítségével proaktívak legyünk a védekezésben, és ne reagáljunk” – mondja Stanley. „Az iparág célja nagyon sokáig az volt, hogy megosszák a kompromisszum indikátorait (IOC), amelyek nagyon széles, nagyon korlátozott kontextussal rendelkeznek.” 

Ezzel szemben az ATT&CK a játékteret a védelem javára billenti, mondja, mivel az aprólékos, és módot ad a szervezeteknek arra, hogy megértsék a konkrét fenyegetés szereplőinek játékkönyveit, amelyek relevánsak sajátos környezetüket.

„A fenyegetőző szereplőknek tudniuk kell, hogy a játékkönyveik lényegében haszontalanok, ha kiemeljük, hogy mit és hogyan csinálnak, és beépítjük a keretbe” – magyarázza. „Azok a szervezetek, amelyek használhatják ezt, sokkal erősebb biztonsági pozícióval rendelkeznek, szemben az IP-címek vagy hash-ek vakon blokkolásával, ahogyan azt az iparág megszokta. A Decider közelebb visz minket ehhez.”

Az ATT&CK leegyszerűsítése az elemzők hozzáférhetősége érdekében

A Decider megkönnyíti az ATT&CK feltérképezését azáltal, hogy végigvezeti a felhasználókat egy sor irányított kérdésen az ellenséges tevékenységről, azzal a céllal, hogy azonosítsa a keretrendszerben a megfelelő taktikákat, technikákat vagy résztechnikákat, hogy intuitív módon illeszkedjen az incidenshez. Innentől kezdve ezek az eredmények „informálhatnak egy sor olyan fontos tevékenységet, mint például a leletek megosztása, a mérséklések felfedezése és a további technikák felderítése” a CISA szerint. március 1-i bejelentés az új eszközről.

Az előre kitöltött irányadó kérdések mellett a Decider egyszerűsített nyelvezetet használ, amely bármely biztonsági elemző számára elérhető, intuitív keresési és szűrőfunkciót használ a releváns technikák feltárására, valamint egy „bevásárlókosár” funkciót, amely lehetővé teszi a felhasználók számára, hogy az eredményeket gyakran használt formátumokba exportálják. Ezenkívül a szervezetek saját egyéni környezetükhöz szabhatják és hangolhatják, beleértve a gyakori téves leképezések megjelölését.

John Wunder, a MITRE CTI és Adversary Emulation részlegének igazgatója szerint a remény az, hogy az ATT&CK végül a kiberbiztonsági szervezetek alapozó, háttéreszközévé válik, nem pedig az a nehézkes, de hasznos eszköz, mint amilyen volt.

„Az egyik dolog, amit nagyon szívesen látnék, amikor az ATT&CK egyre inkább háttérbe szorul, csak egy része a kiberbiztonság napi tevékenységének, és az egyes elemzőknek kevesebb figyelmet kell fordítaniuk rá” – mondja. „Csak olyan valami, aminek az alapját kell képeznie annak, amit csinálunk, és az ellenfél viselkedésének megértésére gondolunk, és nem olyasvalami, amelyen sok időt kell eltöltenie az átgondolással minden alkalommal, amikor incidensre reagál. A Döntés egy nagy előrelépés efelé.”

Az eszköz azt is segíti, hogy az ATT&CK szintaxisa de facto közös nómenklatúrává váljon az eszközök és biztonsági platformok között, valamint a fenyegetésekkel kapcsolatos intelligencia megosztásában.

„Miután azt látjuk, hogy az ATT&CK-t az ökoszisztéma egyre nagyobb részében használják, és mindenki közös nyelvet használ, az ATT&CK felhasználói egyre több hasznot látnak abból, ha a dolgokat a keretrendszerhez igazítják, és azt az eszközök hatékonyabb összekapcsolására használják, és így tovább. – mondja Wunder. „Remélhetőleg a Deciderhez hasonló dolgok révén, amelyek megkönnyítik a használatát, egyre többet fogunk látni ebből.”

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• Platoblockchain. Web3 metaverzum intelligencia. Felerősített tudás. Hozzáférés itt.
• Forrás: https://www.darkreading.com/threat-intelligence/cisa-mitre-look-to-takeattack-framework-out-of-the-weeds