前沿安全论丨ATT&CK框架在安全运营中的利用

颁布功夫 2021-11-30

威胁谍报是关于IT或信息资产所面对的现有或潜在威胁的循证知识，，蕴含情境、、机制、、指标、、推论与可行建议，，这些知识可为威胁响应提供决策凭据。�！狦artner在2014年颁发的《安全威胁谍报服务市场指南》（Market Guide for Security Threat Intelligence Service）中提出的界说。。


凭据David J. Bianco在《The Pyramid of Pain》一文中提出的威胁谍报有关指标的金字塔模型，，能够凭据数据自身将威胁谍报分为HASH值、、IP地址、、域名、、网络或主机特点、、TTPs（Tactics、、Techniques & Procedures）。。左侧是可能利用的谍报，，右侧是这些谍报的价值和把握后给入侵者造成的疾苦水平。。


ATT&CK框架用于威胁谍报的实际.png


威胁谍报中价值最低的是Hash值、、IP地址和域名（也就是常说的特点库），，其次是网络/主机特点、、入侵工具特点，，对入侵者影响最大的是TTPs（战术、、技术和行为模式）类型的威胁谍报。。而目前安全运营中大量使用的依然是基于HASH（特点库）、、IP（护网行动中蓝队的通例的“封IP”行为）、、域名、、URL为基础凭据的威胁谍报，，这些谍报在应对自动海量无自主见识的病毒较为有效，，而在应对高级可持续威胁入侵方面的比力乏力，，等闲被入侵者绕过。。而ATT&CK框架的主题正是TTP，，用尺度说话描述敌手入侵行为，，天然的为威胁谍报提供了高阶标签，，在安全运营中，，防御者能够凭据已知入侵者技术和战术来跟踪入侵主体，，预警甚至预判可能的入侵行为和模式。。


实例：：某经典的鱼叉式垂钓场景的威胁谍报构建


入侵团队利用微软Office宏文件的VBSript构建攻击代码，，而后通过电子邮件进行鱼叉垂钓攻击，，受害者执行代码后，，主机被入侵节制，，并用作跳板机进一步入侵内网。。高阶威胁谍报的主题是鉴别并标识攻击者的技战法（TTP），，因而选取ATT&CK框架来鉴别和构建入侵的TTP行为链条。。如下，，分列出入侵者使用的战术、、技术以及对应的标签、、缓解措施和检测伎俩。。


1、、信息网络：：入侵者网络指标有关信息


2、、初始接见：：入侵者发送鱼叉式邮件诱导执行


3、、代码执行：：受害主机启用Office宏执行恶意代码


4、、悠久化：：创建服务过程、、增长打算工作


5、、防御躲避（假装）：：RTLO字符从右往左覆盖假装正常文件名


6、、号令与节制：：成立荫蔽隧道、、搭建内网代理


7、、数据渗漏：：成立C2隧道节制与数据窃取


8、、影响：：存储数据操作，，篡改内容


最终形成入侵链条如下，，把稳ATT&CK框架中的战术长短线性的。。由上例可见，，依照ATT&CK框架模型进行威胁建模，，极大的方便了构建安全运营中高阶威胁谍报知识库，，齐全的梳理出威胁行为的TTP、、检测数据源以及防御措施，，简化了溯源的流程和威胁谍报的创建过程，，为安全运营中构建自动防御系统提供了有力的支持。。


ATT&CK用于安全运营能力成熟评估实际


在现实安全运营中，，好多安全主管都存在难以回覆的量化困境，，例如：：当前的安全防御系统有效性若何？？安全投资和建设的优先级若何？？实战演习是否推动了能力的提升？？


同样对于安全运维人员，，也存在难以回覆的问题：：


是否可能匹敌当前盛行的APT攻击行为？？海量的告警数据应该若何分析确定法规？？若何验证运维团队的技术工作能力的有效性？？


实际是检验真谛的唯一尺度，，所有安全问题的有效性应该用实际的方式来检验。。因而ATT&CK框架正是检验防御能力的有效伎俩。。


（一）入侵者仿照打算


基于ATT&CK的入侵者仿照打算，，能够选取两种方式：：


1、、实战入侵，，依照ATT&CK的框架尺度，，组织红队打算发展一系列基于威胁的安全测试，，仿照真实入侵者的战术技术和过程，，用实战检验防御系统的真实防御能力。。


2、、沙盘推演，，让企业的红蓝团队选择分歧的角色，，会商红队若何使用分歧步骤来执行攻击行为的，，会商威胁谍报分析人员是若何溯源分析，，安全运营人员是若何匹敌措置的，，将ATT&CK作为通用说话进行沟通和推演。。


这和通常的渗入测试有什么分歧呢？？


渗入测试重要是单一团队的入侵测试，，而基于ATT&CK的入侵者仿照打算重要在于能够仿照多个APT组织的入侵行为，，而非单一组织的伎俩和大局，，越发全面和有效。。


并且，，MITRE也创建有入侵者仿照打算，，主张是让红队可能越发正确高效地仿照入侵行为，，从而使得防守方可能越发有效地测试自己的网络防御能力。。例如基于APT3创建的入侵者仿照规划，，规划中齐全的复现了APT3入侵的所有流程。。从而使得安全运营方可能越发有效地测试自己的保险系统应对各类APT组织入侵时的防御能力。。


（二）安全运营能力成熟度评估


ATT&CK框架同样可利用于安全运营中心的防御能力成熟度评估，，评估组织现有的防御系统，，是否可能覆盖到所有已知入侵伎俩，，辅助发现防御能力短板，，推进美满防御系统框架。。具体来说能够实现如下：：


1、、评估网络安全防御框架能力，，典型场景是安全能力覆盖度评估，，选取色块标价法，，能够了如指掌安全的差距在哪里，，还必要改进哪些？？


2、、当安全能力已经实现了全覆盖，，接下来是必要评估安全能力的成熟度，，将成熟度依照分歧的水平打分。。例如多款产品均覆盖到了该能力，，批注防御成熟度较高，，可进行深色赋值，，相反则进行淡色赋值，，最终形成可视化水平较高的安全能力成熟度模型。。


3、、主流入侵技术热度评估。。对于组织来说，，相识入侵者时时使用入侵技术也极度重要。。因而能够凭据ATT＆CK知识库中存在的122个APT组织的TTP（战术、、技术、、过程）创建入侵技术热力争。。


此时我们能够设想每一个APT组织使用的TTP都是在一块玻璃上涂色，，当所有APT组织实现涂色后，，把这些玻璃叠加起来就形成了OG东方厅威胁组织数据的热力争，，热力争中的色彩越深，，则暗示入侵组织使用该技术的频率就越高。。综上，，将ATT&CK框架利用于安全运营中心，，可能真实反映安全运营中心在面对APT组织威胁时的安全防御能力，，同时能够验证安全运营中心在检测、、分析和响应方面的能力成熟度，，并借助于威胁谍报、、溯源反制构建安全运营中心的自动防御系统。。


2017年，，OG东方厅集团便在行业率先开创性地提出“独立第三方安全运营”概念，，为城市当局机构、、企业及智慧城市建设，，提供托管式、、外包式的7x24小时专业安全运营服务，，为城市打造专职的网络空间安全应急响应中心，，提高针对当局机构、、企业及网络空间�：：κ挛竦姆⑾钟胂煊δ芰�、、加强对潜在入侵的监测和调查能力,由区域性第三方安全运营中心为城市提供专业的托管式安全服务，，是有效提升城市网络安全能力的方式，，是解决安全能力交付“最后一公里”的最佳选择，，近年来逐步成为国内外网络安全产业发展的重要方向。。


OG东方厅集团安全运营中心在实际中引入ATT&CK模型，，不休汇总和输出分歧的安全能力，，并在落地的过程中深度结合人为智能技术和安全分析技术，，不休提升安全运营的治理水平，，通过行业尺度来规范化输出安全运营中心运营剧本、、ATT&CK入侵模型和高阶威胁谍报，，精准定位安全事务，，提升安全事务响应和措置速度。。