CISA, MITRE Se etter å ta ATT&CK-rammeverket ut av ugresset

US Cybersecurity and Infrastructure Security Agency (CISA) har lansert Decider, et gratis verktøy for å hjelpe cybersikkerhetsfellesskapet enklere å kartlegge trusselaktørens atferd til MITER ATT&CK-rammeverket.

Laget i samarbeid med US Homeland Security Systems Engineering and Development Institute (HSSEDI) og MITRE, Decider er en webapplikasjon som organisasjoner kan laste ned og hoste innenfor sin egen infrastruktur, og dermed gjøre den tilgjengelig for en rekke brukere via skyen. Det er ment å forenkle den ofte tyngende prosessen med å bruke rammeverket nøyaktig og effektivt, samt åpne opp for bruken av det for analytikere på alle nivåer i en gitt cybersikkerhetsorganisasjon.

ATT&CK: Et komplekst rammeverk

ATT&CK er designet for å hjelpe sikkerhetsanalytikere finne ut hva angripere prøver å oppnå og hvor langt de er i prosessen (dvs. etablerer de første tilgang? Flytte sideveis? Eksfiltrere data?) Den gjør dette via et sett med kjente nettangrepsteknikker og underteknikker som bestemmes og oppdateres med jevne mellomrom av MITRE, at analytikere kan kartlegge på toppen av hva de kan se i sine egne miljøer.

Målet er å forutse skurkenes neste trekk og stenge angrep så raskt som mulig. Rammeverket kan også innlemmes i en rekke sikkerhetsverktøy, og det gir et standardspråk for kommunikasjon med jevnaldrende og interessenter under hendelsesrespons og rettsmedisinske undersøkelser.

Det er vel og bra, men problemet er at rammeverket er notorisk komplekst, og krever ofte høy opplæring og ekspertise for å velge riktige kartlegginger, for eksempel. Det også utvides kontinuerlig, inkludert utover bedriftsangrep for å innlemme trusler mot industrielle kontrollsystemer (ICS) og det mobile landskapet, noe som øker kompleksiteten. Alt i alt er det et omfattende datasett å navigere i – og cyberforsvarere havner ofte i ugresset når de prøver å bruke det.

"Det er mange teknikker og underteknikker som er tilgjengelige og som kan bli veldig involverte og veldig tekniske, og ofte blir analytikere overveldet, eller det bremser dem ganske mye, fordi de ikke nødvendigvis vet om sub- teknikken de velger er den rette, sier James Stanley, seksjonssjef ved CISA, og bemerker at klager på feilkartlegginger ved bruk av verktøyet er vanlige.

«Når du går til nettstedet, er det mye informasjon foran deg, og det blir fort skremmende. Decider-verktøyet bringer det egentlig bare til et mer enkelt språk for en analytiker å bruke, uavhengig av deres ekspertise, sier han. "Vi ønsket å gi våre interessenter mer veiledning om hvordan de skal bruke rammeverket, og gjøre det tilgjengelig for for eksempel junioranalytikere som kan dra nytte av å bruke det i sanntid under hendelsesrespons midt på natten."

På et bredere nivå tror proselytører ved CISA og MITER at en bredere bruk av ATT&CK – som oppmuntret av Decider – vil føre til bedre, mer handlingskraftig trusseletterretning – og bedre cyberforsvarsresultater.

"Hos CISA ønsker vi virkelig å legge vekt på å bruke trusselintelligens for å være proaktiv i ditt forsvar og ikke reaktiv," sier Stanley. "I svært lang tid har bransjens mål for dette vært å dele indikatorer på kompromiss (IOCs), som har en veldig bred, veldig begrenset kontekst." 

I motsetning til dette, tipper ATT&CK spillefeltet til forsvarets fordel, sier han, fordi det er detaljert og gir organisasjoner en måte å forstå de spesifikke trusselaktør-lekebøkene som er relevante for deres spesifikke miljøer.

"Trusselsaktører bør vite at lekebøkene deres i hovedsak er ubrukelige når vi fremhever hva de gjør og hvordan de gjør det og inkorporerer det i rammeverket," forklarer han. "Organisasjoner som kan bruke det har en mye sterkere sikkerhetsstilling i motsetning til bare blindt blokkering av IP-adresser eller hashes, slik industrien er så vant til å gjøre. Decider bringer oss nærmere det.»

Forenkling av ATT&CK for analytikertilgjengelighet

Decider gjør ATT&CK-kartlegging mer tilgjengelig ved å lede brukerne gjennom en rekke guidede spørsmål om motstanders aktivitet, med målet om å identifisere de riktige taktikkene, teknikkene eller underteknikkene i rammeverket for å passe hendelsen på en intuitiv måte. Derfra kan disse resultatene "informere en rekke viktige aktiviteter som å dele funnene, oppdage avbøtende tiltak og oppdage ytterligere teknikker," ifølge CISAs 1. mars kunngjøring av det nye verktøyet.

I tillegg til de forhåndsutfylte veiledende spørsmålene, bruker Decider et forenklet språk som vil være tilgjengelig for enhver sikkerhetsanalytiker, en intuitiv søke- og filterfunksjon for å avdekke relevante teknikker, og en "handlevogn"-funksjonalitet som lar brukere eksportere resultater til ofte brukte formater. I tillegg kan organisasjoner skreddersy og justere den til sine egne individuelle miljøer, inkludert flagging av vanlige feilkartlegginger.

Håpet er at ATT&CK til slutt skal bli et grunnleggende bakgrunnsverktøy for cybersikkerhetsorganisasjoner, ifølge John Wunder, avdelingsleder, CTI og Adversary Emulation ved MITRE, snarere enn det uhåndterlige, hvis nyttige, instrumentet det har vært.

"En ting som jeg virkelig ville elske å se når ATT&CK beveger seg mer i bakgrunnen, er bare en del av den daglige driften av cybersikkerhet, og individuelle analytikere må bare betale mindre oppmerksomhet til det," sier han. «Det er bare noe som skal danne grunnlaget for hva vi gjør og tenker på å forstå motstanders atferd, og ikke noe du må bruke mye tid på å tenke gjennom hver gang du gjør en hendelsesrespons. Decider er et stort skritt fremover.»

Verktøyet hjelper også ATT&CKs syntaks til å bli den de facto vanlige nomenklaturen på tvers av verktøy og sikkerhetsplattformer, og for å dele trusselintelligens.

"Når du ser ATT&CK brukes på tvers av mer og mer av økosystemet, og alle bruker et felles språk, begynner brukerne av ATT&CK å se mer og mer fordel av å tilpasse ting til rammeverket og bruke det til mer effektivt å korrelere verktøy og så videre ", sier Wunder. "Forhåpentligvis gjennom ting som Decider som gjør det enklere å bruke, vil vi begynne å se mer og mer av det."

• SEO-drevet innhold og PR-distribusjon. Bli forsterket i dag.
• Platoblokkkjede. Web3 Metaverse Intelligence. Kunnskap forsterket. Tilgang her.
• kilde: https://www.darkreading.com/threat-intelligence/cisa-mitre-look-to-takeattack-framework-out-of-the-weeds