Как моделирование взломов и атак облегчает взаимодействие с MITRE ATT&CK
MITRE ATT&CK — это глобально доступная база знаний о тактике и методах деятельности злоумышленников, основанная на реальных наблюдениях. База знаний ATT&CK используется как основа для разработки конкретных моделей и методологий противодействия угрозам для компаний в различных секторах экономики, а также в сообществе разработчиков продуктов и услуг кибербезопасности.
С созданием ATT&CK, MITRE выполняет свою миссию по решению проблем для более безопасного мира — объединяя сообщества для развития более эффективной кибербезопасности. Система ATT&CK является открытой и доступной для любого лица или организации для использования на безвозмездной основе.
MITRE ATT&CK стала основным инструментом для команд безопасности. Однако, учитывая ее всеохватность, может быть сложно определить, с чего начать реализацию этой концепции для воплощения ее в жизнь.
Ниже приведены основные советы, которые помогут начать работу с ATT&CK и как симуляция вторжений и атак (BAS) можно использовать, чтобы ускорить использование системы в повседневных операциях по безопасности.
Начало работы с ATT&CK
Начало работы с MITRE ATT&CK может показаться сложным. Система содержит более 180 методов и 375 подметодов (различные способы, с помощью которых злоумышленники могут совершать вредоносные действия) и является очень подробной, что затрудняет принятие решения о том, на чем следует сосредоточить свое внимание.
Ключевой совет перед началом работы заключается в том, чтобы отказаться от любых стремлений достичь полного покрытия всех угроз. Очень мало организаций имеют время и ресурсы, необходимые для наблюдения за всеми действиями потенциального нарушителя. Вместо этого, стоит сосредоточиться на выявлении субъектов угроз, которые представляют наибольший риск для организации, а также типов тактик и методов, которые они используют.
На сайте MITRE есть перечень наиболее известных хакерских групп. Проведите исследование, чтобы определить злоумышленников, которые с большей вероятностью могут быть нацелены на вашу организацию, учитывая отраслевую вертикаль. Узнайте о методах, которые они применяют, и используйте эту информацию для создания приоритетного списка необходимых мер. Чтобы определить наиболее распространенные методы, попробуйте воспользоваться бесплатным инструментом ATT&CK Navigator от MITRE, который может помочь вам визуализировать поведение нескольких групп угроз одновременно.
Применение более проактивного подхода
Идентификация и выявление деятельности субъектов угроз, которые с большей вероятностью могут быть нацелены на вашу организацию, обеспечит прочную основу для дальнейшего использования концепции. Однако, чтобы быть в курсе новых угроз, которые появляются каждый день, нужно быть более проактивными в своем подходе.
Проактивное использование ATT&CK потребует разведданных для отслеживания изменений в поведении угроз, а затем сопоставления их со структурой. Данные об угрозах могут быть получены из открытых источников и коммерческих каналов, а также из ваших собственных внутренних расследований. Используйте все доступные вам данные.
На этом этапе пути к внедрению системы ATT&CK все может быстро начать усложняться. Выявление и идентификация новых угроз редко бывает простой задачей и может легко привести к истощению ваших ресурсов.
Необходимо также учитывать значительное количество времени и усилий, которые специалисты по киберзащите тратят на создание новых средств обнаружения поведения с высокой степенью риска. Новые системы обнаружения потребуют разработки и тестирования новых правил корреляции.
По приблизительным подсчетам, инженеру по безопасности может потребоваться примерно семь часов для написания и внедрения нового правила. А если для достижения необходимой видимости понадобятся новые источники данных — нужно будет выделить дополнительное время.
Реагирование на эволюцию поведения злоумышленников
Хотя улучшение покрытия ATT&CK может быть трудоемким, меняющийся ландшафт угроз делает это жизненно важным для достижения более высокого уровня безопасности.
Например, в отчёте Picus Red Report было обнаружено, что более половины из десяти самых распространенных методов ATT&CK в 2021 году даже не появлялись в аналогичном списке в 2020 году, что подчеркивает степень изменений в подходах злоумышленников.
Именно поэтому никогда нельзя быть на 100% уверенным в обнаружении той или иной техники в своей среде. Чтобы повысить шансы на успех, злоумышленники будут продолжать придумывать новые способы осуществления атак, что делает важным регулярный пересмотр и проверку имеющихся средств защиты.
Внедрение ATT&CK с помощью моделирования взломов и атак (BAS)
Если ваша организация планирует внедрить систему ATT&CK или пытается вывести ее использование на новый уровень, моделирование нарушений и атак — это отличный способ ускорить этот путь, уменьшить уровень ручных усилий, необходимых для введения системы в действие, и оценить успех ваших действий.
Платформы BAS, такие как The Complete Security Control Validation Platform от Picus, имитирующие реальные киберугрозы для автоматической и непрерывной проверки эффективности контроля безопасности.
Выявляя пробелы в предотвращении и обнаружении, BAS можно использовать для определения угрожающего поведения, которое представляет наибольший риск для вашей организации, и помочь вам принять более быстрые меры для их смягчения.
Как Picus способен улучшить эффективность системы безопасности
Picus Complete Security Control Validation Platform — это комплексное BAS-решение для проверки средств контроля безопасности, которое не только проверяет эффективность средств контроля безопасности, но и предоставляет практические рекомендации для обеспечения наилучшей защиты.
Платформа Picus может помочь вам быстрее и эффективнее ввести в действие ATT&CK, проверяя эффективность инструментов сетевой безопасности, SIEM и EDR, а также автоматически сопоставляя результаты оценки со структурой.
С помощью Picus можно быстро и легко имитировать атаки вредоносных программ, программ-вымогателей и веб-приложений, а также методы использования уязвимостей, таких как Log4j. Библиотека угроз Picus содержит более 11 000 образцов угроз и ежедневно обновляется экспертами по наступательной безопасности, что уменьшает потребность вашей внутренней команды безопасности в мониторинге разведки киберугроз для выявления новых тактик, методов и процедур (TTPs).
Чтобы выявить и помочь устранить слепые зоны покрытия и видимости угроз, Picus проверяет, действуют ли правила обнаружения и надежно ли они запускают оповещения. Для любых обнаруженных пробелов платформа предоставляет предложения по источникам логов, а также сигнатуры предотвращения и правила обнаружения для конкретных поставщиков.
Команда iIT Distribution поможет вам по любым вопросам, связанным с внедрением решений моделирования взломов и атак от Picus. Ведь мы являемся официальным дистрибьютором компании Picus на территории Украины.
