Як моделювання зломів та атак полегшує взаємодію з MITRE ATT&CK

MITRE ATT&CK – це глобально доступна база знань про тактику і методи діяльності зловмисників, заснована на реальних спостереженнях. База знань ATT&CK використовується як основа для розробки конкретних моделей і методологій протидії загрозам для компаній у різних секторах економіки, а також у спільноті розробників продуктів і послуг кібербезпеки.

Зі створенням ATT&CK, MITRE виконує свою місію з вирішення проблем для більш безпечного світу – об’єднуючи спільноти для розвитку більш ефективної кібербезпеки. Система ATT&CK є відкритою і доступною для будь-якої особи або організації для використання на безоплатній основі.

MITRE ATT&CK стала основним інструментом для команд безпеки. Проте, зважаючи на її всеосяжність, може бути складно визначити, з чого почати реалізацію цієї концепції для втілення її в життя.

Нижче наведено основні поради, які допоможуть розпочати роботу з ATT&CK та як симуляція вторгнень та атак (BAS) можна використати, щоб пришвидшити використання системи у повсякденних операціях з безпеки.

Вступ до використання ATT&CK

Початок роботи з MITRE ATT&CK може здатися складним. Система містить понад 180 методів і 375 підметодів (різні способи, за допомогою яких зловмисники можуть здійснювати шкідливі дії) і є дуже детальною, що ускладнює прийняття рішення про те, на чому слід зосередити свою увагу.

Ключова порада перед початком роботи полягає в тому, щоб відмовитися від будь-яких прагнень досягти повного покриття всіх загроз. Дуже мало організацій мають час і ресурси, необхідні для спостереження за всіма діями потенційного порушника. Замість цього, варто зосередитися на виявленні суб’єктів загроз, які становлять найбільший ризик для організації, а також типів тактик і методів, які вони використовують.

На сайті MITRE є перелік найбільш відомих хакерських груп. Проведіть дослідження, щоб визначити зловмисників, які з більшою ймовірністю можуть бути націлені на вашу організацію, враховуючи галузеву вертикаль. Дізнайтеся про методи, які вони застосовують, і використайте цю інформацію для створення пріоритетного списку необхідних заходів. Щоб визначити найбільш поширені методи, спробуйте скористатися безкоштовним інструментом ATT&CK Navigator від MITRE, який може допомогти вам візуалізувати поведінку декількох груп загроз одночасно.

Застосування більш проактивного підходу

Ідентифікація та виявлення діяльності суб’єктів загроз, які з більшою ймовірністю можуть бути націлені на вашу організацію, забезпечить міцну основу для подальшого використання концепції. Однак, щоб бути в курсі нових загроз, які з’являються щодня, потрібно бути більш проактивними у своєму підході.

Проактивне використання ATT&CK вимагатиме розвідданих для відстеження змін у поведінці загроз, а потім зіставлення їх зі структурою. Дані про загрози можуть бути отримані з відкритих джерел та комерційних каналів, а також з ваших власних внутрішніх розслідувань. Використовуйте всі доступні вам дані.

На цьому етапі шляху до впровадження системи ATT&CK все може швидко почати ускладнюватися. Виявлення та ідентифікація нових загроз рідко буває простим завданням і може легко призвести до виснаження ваших ресурсів.

Необхідно також враховувати значну кількість часу та зусиль, які фахівці з кіберзахисту витрачають на створення нових засобів виявлення поведінки з високим ступенем ризику. Нові системи виявлення вимагатимуть розробки та тестування нових правил кореляції.

За приблизними підрахунками, інженеру з безпеки може знадобитися приблизно сім годин для написання та впровадження нового правила. А якщо для досягнення необхідної видимості знадобляться нові джерела даних – потрібно буде виділити додатковий час.

Реагування на еволюцію поведінки зловмисників

Хоча поліпшення покриття ATT&CK може бути трудомістким, мінливий ландшафт загроз робить це життєво важливим для досягнення більш високого рівня безпеки.

Наприклад, у звіті Picus Red Report було виявлено, що більше половини з десяти найпоширеніших методів ATT&CK у 2021 році навіть не з’являлися в аналогічному списку у 2020 році, що підкреслює ступінь змін у підходах зловмисників.

Саме тому ніколи не можна бути на 100% впевненим у виявленні тієї чи іншої техніки у своєму середовищі. Щоб підвищити шанси на успіх, зловмисники продовжуватимуть вигадувати нові способи здійснення атак, що робить важливим регулярний перегляд і перевірку наявних засобів захисту.

Впровадження ATT&CK за допомогою моделювання зломів та атак (BAS)

Якщо ваша організація планує впровадити систему ATT&CK або намагається вивести її використання на новий рівень, моделювання порушень та атак – це чудовий спосіб прискорити цей шлях, зменшити рівень ручних зусиль, необхідних для введення системи в дію, та оцінити успіх ваших дій.

Платформи BAS, такі як The Complete Security Control Validation Platform від Picus, імітують реальні кіберзагрози для автоматичної і безперервної перевірки ефективності контролю безпеки.

Виявляючи прогалини у запобіганні та виявленні, BAS можна використовувати для визначення загрозливої поведінки, яка становить найбільший ризик для вашої організації, і допомогти вам вжити швидших заходів для їх пом’якшення.

Як Picus здатен покращити ефективність системи безпеки

Picus Complete Security Control Validation Platform – це комплексне BAS-рішення для перевірки засобів контролю безпеки, яке не тільки перевіряє ефективність засобів контролю безпеки, а й надає практичні рекомендації для забезпечення найкращого захисту.

Платформа Picus може допомогти вам швидше і ефективніше ввести в дію ATT&CK, перевіряючи ефективність інструментів мережевої безпеки, SIEM і EDR, а також автоматично зіставляючи результати оцінки з структурою.

За допомогою Picus можна швидко і легко імітувати атаки шкідливих програм, програм-вимагачів і веб-додатків, а також методи використання вразливостей, таких як Log4j. Бібліотека загроз Picus містить понад 11 000 зразків загроз і щодня оновлюється експертами з наступальної безпеки, що зменшує потребу вашої внутрішньої команди безпеки в моніторингу розвідки кіберзагроз для виявлення нових тактик, методів і процедур (TTPs).

Щоб виявити і допомогти усунути сліпі зони покриття і видимості загроз, Picus перевіряє, чи діють правила виявлення і чи надійно вони запускають оповіщення. Для будь-яких виявлених прогалин платформа надає пропозиції щодо джерел логів, а також сигнатури запобігання і правила виявлення для конкретних постачальників.

Команда iIT Distribution допоможе вам щодо будь-яких питань, пов’язаних з впровадженням рішень моделювання зломів та атак від Picus. Адже ми є офіційним дистриб’ютором компанії Picus на території України.