CISA, MITER נסו להוציא את מסגרת ATT&CK מהעשבים

הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) השיקה את Decider, כלי חינמי שיעזור לקהילת אבטחת הסייבר למפות ביתר קלות את התנהגות שחקנים באיומים למסגרת MITER ATT&CK.

נוצר בשיתוף עם המכון האמריקאי להנדסה ופיתוח מערכות אבטחה מולדת (HSSEDI) ו-MITRE, Decider הוא יישום אינטרנט שארגונים יכולים להוריד ולארח בתוך התשתית שלהם, ובכך להפוך אותו זמין למגוון משתמשים דרך הענן. זה נועד לפשט את התהליך המכביד לעתים קרובות של שימוש במדויק ואפקטיבי במסגרת, כמו גם לפתוח את השימוש בה בפני אנליסטים בכל רמה בארגון אבטחת סייבר נתון.

ATT&CK: מסגרת מורכבת

ATT&CK מיועד לעזור למנתחי אבטחה לקבוע מה התוקפים מנסים להשיג ועד כמה הם נמצאים בתהליך (כלומר, האם הם מבססים גישה ראשונית? זזים לרוחב? מסתננים נתונים?) הוא עושה זאת באמצעות קבוצה של טכניקות התקפת סייבר ותת-טכניקות ידועות שנקבעות ומתרעננות מעת לעת מאת MITRE, שאנליסטים יכולים למפות את מה שהם עשויים לראות בסביבות שלהם.

המטרה היא לצפות את המהלכים הבאים של הרעים ולסגור את ההתקפות במהירות האפשרית. ניתן לשלב את המסגרת גם במגוון כלי אבטחה, והיא מספקת שפה סטנדרטית לתקשורת עם עמיתים ובעלי עניין במהלך תגובה לאירועים וחקירות משפטיות.

זה הכל טוב ויפה, אבל הבעיה היא שהמסגרת מורכבת לשמצה, ולעתים קרובות דורשת רמה גבוהה של הכשרה ומומחיות כדי לבחור את המיפויים הנכונים, למשל. זה גם מתרחב ללא הרף, כולל מעבר להתקפות ארגוניות כדי לשלב איומים על מערכות בקרה תעשייתיות (ICS) ו הנוף הנייד, מה שמוסיף למורכבות. בסך הכל, מדובר במערך נתונים נרחב לניווט - ומגני סייבר מגיעים לרוב לעשבים השוטים כאשר מנסים להשתמש בו.

"יש הרבה טכניקות ותת-טכניקות זמינות ויכולות להיות מאוד מעורבות ומאוד טכניות, ולעתים קרובות האנליסטים מוצפים, או שזה מאט אותם לא מעט, כי הם לא בהכרח יודעים אם המשנה- הטכניקה שהם בוחרים היא הנכונה", אומר ג'יימס סטנלי, ראש מדור ב-CISA, ומציין שהתלונות על מיפוי שגוי באמצעות הכלי הן שכיחות.

"כשאתה נכנס לאתר, יש הרבה מידע לפניך וזה הופך מרתיע במהירות. הכלי Decider פשוט מביא אותו לשפה פשוטה יותר לשימוש של אנליסט, ללא קשר לרמת המומחיות שלו", הוא אומר. "רצינו לתת לבעלי העניין שלנו הדרכה נוספת כיצד להשתמש במסגרת, ולהפוך אותה לזמינה, למשל, לאנליסטים זוטרים שיכולים להפיק תועלת מהשימוש בה בזמן אמת במהלך תגובה לאירועים באמצע הלילה, למשל."

ברמה רחבה יותר, מתגייסים ב-CISA וב-MITER מאמינים ששימוש רחב יותר ב-ATT&CK - כפי שעודד Decider - יוביל למודיעין איומים טוב יותר, בר-פעולה - ותוצאות טובות יותר של הגנת סייבר.

"ב-CISA, אנחנו באמת רוצים לשים את הדגש על שימוש במודיעין איומים כדי להיות פרואקטיבי בהגנה שלך ולא תגובתי", אומר סטנלי. "במשך זמן רב מאוד, המטרה של התעשייה לכך הייתה לשתף אינדיקטורים של פשרה (IOCs), שיש להם הקשר רחב מאוד, מאוד מוגבל." 

לעומת זאת, ATT&CK מפנה את מגרש המשחקים לטובת ההגנה, הוא אומר, מכיוון שהוא פרטני ונותן לארגונים דרך להבין את ספרי המשחקים הספציפיים של שחקן האיום הרלוונטיים הסביבות הספציפיות שלהם.

"שחקני איום צריכים לדעת שספר המשחקים שלהם הם חסרי תועלת בעצם ברגע שאנחנו מדגישים מה הם עושים ואיך הם עושים את זה ומשלבים את זה במסגרת", הוא מסביר. "לארגונים שיכולים להשתמש בו יש תנוחת אבטחה הרבה יותר חזקה, לעומת סוג של חסימה עיוורת של כתובות IP או גיבוב, כמו שהתעשייה כל כך רגילה לעשות. Decider מקרב אותנו לזה".

פישוט ATT&CK עבור נגישות אנליסטים

Decider הופך את מיפוי ATT&CK לנגיש יותר על ידי הדרכה של משתמשים בסדרה של שאלות מונחות על פעילות יריב, במטרה לזהות את הטקטיקות, הטכניקות או התת-טכניקות הנכונות במסגרת כדי להתאים את האירוע בצורה אינטואיטיבית. משם, תוצאות אלו יכולות "להודיע ​​למגוון פעילויות חשובות כמו שיתוף הממצאים, גילוי מיתוגנות וזיהוי טכניקות נוספות", על פי ה-CISA הודעת 1 במרץ של הכלי החדש.

בנוסף לשאלות המנחות המאוכלסות מראש, Decider משתמש בשפה פשוטה שתהיה נגישה לכל מנתח אבטחה, פונקציית חיפוש וסינון אינטואיטיבית לגילוי טכניקות רלוונטיות ופונקציונליות של "עגלת קניות" המאפשרת למשתמשים לייצא תוצאות לפורמטים נפוצים. בנוסף, ארגונים יכולים להתאים ולכוונן אותו לסביבות האישיות שלהם, כולל סימון של מיפויים שגויים נפוצים.

התקווה היא ש-ATT&CK יהפוך בסופו של דבר לכלי בסיסי, רקע עבור ארגוני אבטחת סייבר, לפי ג'ון וונדר, מנהל מחלקה, CTI ו-Adversary Emulation ב-MITRE, ולא הכלי המסורבל, אם שימושי, שהיה.

"דבר אחד שבאמת אשמח לראות כש-ATT&CK עוברים יותר לרקע הוא רק חלק מהפעילות היומיומית של אבטחת סייבר, ואנליסטים בודדים צריכים רק להקדיש לזה פחות תשומת לב", הוא אומר. "זה פשוט משהו שצריך להוות את הבסיס למה שאנחנו עושים וחשיבה על הבנת התנהגויות של יריב, ולא משהו שאתה צריך להשקיע הרבה זמן לחשוב עליו בכל פעם שאתה עושה תגובה לאירוע. Decider הוא צעד גדול קדימה לכך".

הכלי גם עוזר לתחביר של ATT&CK להפוך למינוח הנפוץ דה פקטו על פני כלים ופלטפורמות אבטחה, ולשיתוף מודיעין איומים.

"ברגע שאתה רואה ATT&CK בשימוש על פני יותר ויותר של המערכת האקולוגית, וכל אחד משתמש בשפה משותפת, אז המשתמשים של ATT&CK מתחילים לראות יותר ויותר תועלת מהתאמה של דברים למסגרת ושימוש בה כדי לקשר כלים בצורה יעילה יותר וכן הלאה. ", אומר וונדר. "אני מקווה שבאמצעות דברים כמו Decider שמקלים על השימוש, נתחיל לראות יותר ויותר מזה."

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• Platoblockchain. Web3 Metaverse Intelligence. ידע מוגבר. גישה כאן.
• מקור: https://www.darkreading.com/threat-intelligence/cisa-mitre-look-to-takeattack-framework-out-of-the-weeds