前沿安全论丨ATT&CK框架在安全运营中的利用
颁布功夫 2021-11-30威胁谍报是关于IT或信息资产所面对的现有或潜在威胁的循证知识，，，蕴含情境、、、机制、、、指标、、、推论与可行建议，，，这些知识可为威胁响应提供决策凭据�！！！��！！！狦artner在2014年颁发的《安全威胁谍报服务市场指南》（Market Guide for Security Threat Intelligence Service）中提出的界说�！！！�。
凭据David J. Bianco在《The Pyramid of Pain》一文中提出的威胁谍报有关指标的金字塔模型，，，能够凭据数据自身将威胁谍报分为HASH值、、、IP地址、、、域名、、、网络或主机特点、、、TTPs（Tactics、、、Techniques & Procedures）�！！！�。左侧是可能利用的谍报，，，右侧是这些谍报的价值和把握后给入侵者造成的疾苦水平�！！！�。
威胁谍报中价值最低的是Hash值、、、IP地址和域名（也就是常说的特点库），，，其次是网络/主机特点、、、入侵工具特点，，，对入侵者影响最大的是TTPs（战术、、、技术和行为模式）类型的威胁谍报�！！！�。而目前安全运营中大量使用的依然是基于HASH（特点库）、、、IP（护网行动中蓝队的通例的“封IP”行为）、、、域名、、、URL为基础凭据的威胁谍报，，，这些谍报在应对自动海量无自主见识的病毒较为有效，，，而在应对高级可持续威胁入侵方面的比力乏力，，，等闲被入侵者绕过�！！！�。而ATT&CK框架的主题正是TTP，，，用尺度说话描述敌手入侵行为，，，天然的为威胁谍报提供了高阶标签，，，在安全运营中，，，防御者能够凭据已知入侵者技术和战术来跟踪入侵主体，，，预警甚至预判可能的入侵行为和模式�！！！�。
实例：某经典的鱼叉式垂钓场景的威胁谍报构建
入侵团队利用微软Office宏文件的VBSript构建攻击代码，，，而后通过电子邮件进行鱼叉垂钓攻击，，，受害者执行代码后，，，主机被入侵节制，，，并用作跳板机进一步入侵内网�！！！�。高阶威胁谍报的主题是鉴别并标识攻击者的技战法（TTP），，，因而选取ATT&CK框架来鉴别和构建入侵的TTP行为链条�！！！�。如下，，，分列出入侵者使用的战术、、、技术以及对应的标签、、、缓解措施和检测伎俩�！！！�。
1、、、信息网络：入侵者网络指标有关信息
2、、、初始接见：入侵者发送鱼叉式邮件诱导执行
3、、、代码执行：受害主机启用Office宏执行恶意代码
4、、、悠久化：创建服务过程、、、增长打算工作
5、、、防御躲避（假装）：RTLO字符从右往左覆盖假装正常文件名
6、、、号令与节制：成立荫蔽隧道、、、搭建内网代理
7、、、数据渗漏：成立C2隧道节制与数据窃取
8、、、影响：存储数据操作，，，篡改内容
最终形成入侵链条如下，，，把稳ATT&CK框架中的战术长短线性的�！！！�。由上例可见，，，依照ATT&CK框架模型进行威胁建模，，，极大的方便了构建安全运营中高阶威胁谍报知识库，，，齐全的梳理出威胁行为的TTP、、、检测数据源以及防御措施，，，简化了溯源的流程和威胁谍报的创建过程，，，为安全运营中构建自动防御系统提供了有力的支持�！！！�。
ATT&CK用于安全运营能力成熟评估实际
在现实安全运营中，，，好多安全主管都存在难以回覆的量化困境，，，例如：当前的安全防御系统有效性若何？？？安全投资和建设的优先级若何？？？实战演习是否推动了能力的提升？？？
同样对于安全运维人员，，，也存在难以回覆的问题：
是否可能匹敌当前盛行的APT攻击行为？？？海量的告警数据应该若何分析确定法规？？？若何验证运维团队的技术工作能力的有效性？？？
实际是检验真谛的唯一尺度，，，所有安全问题的有效性应该用实际的方式来检验�！！！�。因而ATT&CK框架正是检验防御能力的有效伎俩�！！！�。
（一）入侵者仿照打算
基于ATT&CK的入侵者仿照打算，，，能够选取两种方式：
1、、、实战入侵，，，依照ATT&CK的框架尺度，，，组织红队打算发展一系列基于威胁的安全测试，，，仿照真实入侵者的战术技术和过程，，，用实战检验防御系统的真实防御能力�！！！�。
2、、、沙盘推演，，，让企业的红蓝团队选择分歧的角色，，，会商红队若何使用分歧步骤来执行攻击行为的，，，会商威胁谍报分析人员是若何溯源分析，，，安全运营人员是若何匹敌措置的，，，将ATT&CK作为通用说话进行沟通和推演�！！！�。
这和通常的渗入测试有什么分歧呢？？？
渗入测试重要是单一团队的入侵测试，，，而基于ATT&CK的入侵者仿照打算重要在于能够仿照多个APT组织的入侵行为，，，而非单一组织的伎俩和大局，，，越发全面和有效�！！！�。
并且，，，MITRE也创建有入侵者仿照打算，，，主张是让红队可能越发正确高效地仿照入侵行为，，，从而使得防守方可能越发有效地测试自己的网络防御能力�！！！�。例如基于APT3创建的入侵者仿照规划，，，规划中齐全的复现了APT3入侵的所有流程�！！！�。从而使得安全运营方可能越发有效地测试自己的保险系统应对各类APT组织入侵时的防御能力�！！！�。
（二）安全运营能力成熟度评估
ATT&CK框架同样可利用于安全运营中心的防御能力成熟度评估，，，评估组织现有的防御系统，，，是否可能覆盖到所有已知入侵伎俩，，，辅助发现防御能力短板，，，推进美满防御系统框架�！！！�。具体来说能够实现如下：
1、、、评估网络安全防御框架能力，，，典型场景是安全能力覆盖度评估，，，选取色块标价法，，，能够了如指掌安全的差距在哪里，，，还必要改进哪些？？？
2、、、当安全能力已经实现了全覆盖，，，接下来是必要评估安全能力的成熟度，，，将成熟度依照分歧的水平打分�！！！�。例如多款产品均覆盖到了该能力，，，批注防御成熟度较高，，，可进行深色赋值，，，相反则进行淡色赋值，，，最终形成可视化水平较高的安全能力成熟度模型�！！！�。
3、、、主流入侵技术热度评估�！！！�。对于组织来说，，，相识入侵者时时使用入侵技术也极度重要�！！！�。因而能够凭据ATT＆CK知识库中存在的122个APT组织的TTP（战术、、、技术、、、过程）创建入侵技术热力争�！！！�。
此时我们能够设想每一个APT组织使用的TTP都是在一块玻璃上涂色，，，当所有APT组织实现涂色后，，，把这些玻璃叠加起来就形成了OG东方厅威胁组织数据的热力争，，，热力争中的色彩越深，，，则暗示入侵组织使用该技术的频率就越高�！！！�。综上，，，将ATT&CK框架利用于安全运营中心，，，可能真实反映安全运营中心在面对APT组织威胁时的安全防御能力，，，同时能够验证安全运营中心在检测、、、分析和响应方面的能力成熟度，，，并借助于威胁谍报、、、溯源反制构建安全运营中心的自动防御系统�！！！�。
2017年，，，OG东方厅集团便在行业率先开创性地提出“独立第三方安全运营”概念，，，为城市当局机构、、、企业及智慧城市建设，，，提供托管式、、、外包式的7x24小时专业安全运营服务，，，为城市打造专职的网络空间安全应急响应中心，，，提高针对当局机构、、、企业及网络空间风险事务的发现与响应能力、、、加强对潜在入侵的监测和调查能力,由区域性第三方安全运营中心为城市提供专业的托管式安全服务，，，是有效提升城市网络安全能力的方式，，，是解决安全能力交付“最后一公里”的最佳选择，，，近年来逐步成为国内外网络安全产业发展的重要方向�！！！�。
OG东方厅集团安全运营中心在实际中引入ATT&CK模型，，，不休汇总和输出分歧的安全能力，，，并在落地的过程中深度结合人为智能技术和安全分析技术，，，不休提升安全运营的治理水平，，，通过行业尺度来规范化输出安全运营中心运营剧本、、、ATT&CK入侵模型和高阶威胁谍报，，，精准定位安全事务，，，提升安全事务响应和措置速度�！！！�。
京公网安备11010802024551号