Présentation des campagnes ATT&CK

Par : Amy Robertson, Jared Ondricek et Matt Malone

Nous avons parlé de la création de campagnes dans ATT&CK dans notre feuille de route A TT&CK 2022 , à ATT&CKCon 3.0 et, plus récemment, dans le récapitulatif de l'analyse des menaces SANS , mais leur sortie est maintenant proche ! Notre collection initiale de campagnes sera disponible à partir de notre version ATT&CK v12 le 25 octobre, lorsque vous pourrez tirer parti de la structure des campagnes pour tous vos cas d'utilisation ATT&CK. Avant la sortie, nous profitons de l'occasion pour vous expliquer notre vision des campagnes, vous faire découvrir les éléments de la campagne et couvrir nos plans de campagne à plus long terme.

La vision des campagnes

Pour nos besoins dans ATT&CK, nous utilisons des "campagnes" pour décrire un regroupement d'activités d'intrusion menées sur une période de temps spécifique avec des cibles et des objectifs communs. Un aspect clé des campagnes est que l'activité peut ou non être liée à un acteur de menace spécifique.

Notre vision des campagnes est de fournir aux utilisateurs une autre façon de voir l'évolution des cyber-opérations malveillantes. L'activité des acteurs de la menace dans ATT&CK englobe actuellement un large éventail de comportements qui peuvent informer une image globale de l'adversaire au fil du temps. Mais au fur et à mesure que les adversaires évoluent, leurs TTP changent souvent, et en introduisant une certaine structure avec les campagnes, nous espérons vous permettre de glaner plus d'informations et de contexte exploitables pour éclairer la priorisation de votre défense . Les campagnes vous permettront d'identifier les tendances, de suivre les changements significatifs dans les techniques utilisées par les différents acteurs et de surveiller l'introduction de nouvelles fonctionnalités (ou vulnérabilités exploitées). Vous serez également en mesure d'identifier la dépendance continue des acteurs de la menace à l'égard de certaines techniques, quels que soient l'objectif et/ou les cibles de la campagne.

Les campagnes nous permettront également de catégoriser plus précisément les activités d'intrusion complexes, y compris celles impliquant plusieurs menaces (telles que les opérations Ransomware-as-a-Service) et d'analyser les opérations qui se chevauchent et qui ont reçu le même nom. Avec la nouvelle structure, nous convertirons également certains des groupes d'ATT&CK en campagnes. Cela s'appliquera aux groupes qui répondent à notre définition d'une campagne et ne présentent qu'un seul groupe d'activités (comme G0101/Frankenstein et G0014/Night Dragon).

Comme c'est notre tradition d'intégrer soigneusement les éléments structurels dans ATT&CK, nous intégrerons un nombre limité de campagnes dans la version v12. Cette première collection de campagnes comprendra d'anciennes entrées de groupe qui sont plus précisément classées en tant que campagnes, un nombre organisé de campagnes liées à des groupes existants, ainsi que des campagnes non attribuées.

Éléments de campagne

Nous avons structuré les campagnes pour les aligner visuellement sur les pages Groupes et Logiciels, et la version v12 comportera l'ajout d'un nouveau bouton "Campagnes" sur la barre d'outils de la page principale pour un accès facile.

La page d'accueil des campagnes comprendra un tableau des campagnes contenant le numéro d'identification, le nom et les descriptions des activités. La liste des campagnes disponibles dans la colonne de gauche met en évidence les campagnes ajoutées ou converties à ce jour. Comme nous l'avons vu précédemment, nous avons créé une certaine flexibilité quant à l'attribution ou non d'un nom unique à l'activité - une limitation à laquelle nous sommes actuellement confrontés avec les groupes - en permettant à une campagne d'être simplement référencée par notre propre identifiant (par exemple, C0014) si elle ne vient pas déjà avec un nom.

Chaque entrée de campagne comportera une description de l'activité d'intrusion, y compris des détails tels que les pays et secteurs ciblés connus, le cas échéant, ainsi que toute information qui rend cette campagne particulièrement remarquable.

Nous avons été particulièrement attentifs à la meilleure façon de saisir la période de temps liée à une campagne. Nous avons opté pour les champs "First Seen" et "Last Seen" dans la boîte d'information, avec les citations de référence correspondantes, afin que les utilisateurs puissent voir comment une campagne a été définie. Pour les activités d'intrusion évaluées comme étant en cours au moment de la publication du rapport, nous ajouterons un libellé à cet effet dans la description de la campagne (par exemple, "En septembre 2022, les chercheurs en sécurité ont évalué que cette activité était en cours") et mettrons à jour les futures versions de la campagne ATT&CK. entrées en conséquence.

Comme pour les groupes et les logiciels, nous avons créé un tableau "Techniques utilisées" pour capturer des exemples de procédures d'acteur observés au cours d'une campagne, avec quelques différences significatives.

1. Nous ajouterons autant de détails que les rapports le permettent concernant les commandes ou mesures spécifiques prises par les acteurs, pour aider les utilisateurs d'ATT&CK à identifier les opportunités de détection et d'atténuation correspondantes. Nous avons trouvé ce concept plus difficile pour les pages de groupe et de logiciel, car celles-ci ont tendance à regrouper une variété d'exemples de rapports au fil du temps, ce qui se traduit par un langage d'exemple de procédure plus générique.

2. Nous préfacerons nos exemples de procédure de campagne avec le nom de la campagne ou le numéro d'identification associé, pour le séparer des techniques déjà trouvées sur une page de groupe. Nous réalisons que l'utilité de cela peut ne pas être immédiatement évidente lorsque vous regardez une page de campagne, mais cela permet aux exemples de procédure de se démarquer séparément lorsqu'une campagne est associée à un groupe (et, espérons-le, permet une intégration plus fluide à l'avenir si une campagne non attribuée est ensuite attribuée à un groupe).

Qu'est-ce que cela signifie pour les groupes et les logiciels ?

Nous avons apporté deux changements clés aux pages Groupe et Logiciel en ce qui concerne les campagnes. Comme mentionné précédemment, les techniques et les exemples de procédure correspondants mappés à une campagne attribuée à un groupe seront reportés sur la page de groupe associée. Nous continuerons également à mapper des exemples de procédures spécifiques à Campaign sur des pages de logiciels.

Nous avons ajouté un tableau Campagnes aux pages de groupe et de logiciel associées, afin que les utilisateurs d'ATT&CK puissent facilement référencer les numéros d'identification de campagne, les noms (le cas échéant) et la description de la campagne.

Les pages de groupe et de logiciel resteront autrement visuellement inchangées, et nous continuerons à les mettre à jour séparément en tant que liste collective de toutes les techniques observées. Nous souhaitons préserver la fonctionnalité des couches de navigation ATT&CK à cet égard, pour les utilisateurs d'ATT&CK qui souhaitent se concentrer sur toutes les techniques utilisées, quel que soit le moment ou la cible.

Présentation de l'objet Campagne STIX

Avec l'ajout de campagnes à ATT&CK, le modèle de données ATT&CK (qui peut être trouvé dans notre document d'utilisation ), s'est étendu pour englober ces changements. Le diagramme ci-dessous illustre la façon dont toutes les pièces mobiles fonctionnent ensemble, avec les nouveaux ajouts du type d'objet Campagne et les Relations connectées aux Campagnes. Il est important de noter qu'aucun changement n'a été apporté aux objets qui existaient auparavant dans ATT&CK. Les logiciels écrits pour lire les versions antérieures d'ATT&CK devraient continuer à fonctionner, même s'il manque des données qui n'apparaissent que dans les campagnes.

Maintenant que vous avez vu notre modèle de données, nous aimerions vous présenter la vedette du spectacle — l' objet STIX Campaign . Dans le cadre du modèle de données ATT&CK, il utilise les mêmes extensions STIX que celles qui s'y trouvent, telles que x_mitre_version. Cependant, en plus de ces champs précédemment documentés, voici la répartition de la façon dont ATT&CK utilise chaque champ qui est unique à l'objet Campagne :

Champs STIX standard :

• type : conforme à la spécification STIX
• name : le nom utilisé pour identifier la campagne. Si aucun nom n'est donné, alors ce champ contiendra un identifiant ATT&CK sous la forme CXXXX
• description : Conforme à la spécification STIX
• alias : utilisés pour contenir les noms de campagne associés
• first_seen (horodatage) : la période pendant laquelle cette campagne a été vue pour la première fois. ATT&CK n'utilise ce champ qu'au niveau de granularité mois/année. La partie jour et heure de ce champ d'horodatage doit être ignorée par les analyseurs lors de l'affichage des informations de la campagne ATT&CK
• last_seen (horodatage) : heure à laquelle cette campagne a été vue ou signalée pour la dernière fois. ATT&CK n'utilise ce champ qu'au niveau de granularité mois/année. La partie jour et heure de ce champ d'horodatage doit être ignorée par les analyseurs lors de l'affichage des informations de la campagne ATT&CK
• objectif : Non utilisé par ATT&CK

• x_mitre_first_seen_citation (chaîne) : une à plusieurs citations pour le moment où la campagne a été signalée pour la première fois sous la forme « (Citation : <nom de la citation>) » où <nom de la citation> peut être trouvé comme l'un des nom_source de l'une des références_externes.
• x_mitre_last_seen_citation (chaîne) : une à plusieurs citations pour la dernière fois que la campagne a été signalée sous la forme « (Citation : <nom de la citation>) » où <nom de la citation> peut être trouvé comme l'un des nom_source de l'une des références_externes.

Lors de la collecte de données sur les groupes auxquels des campagnes sont attribuées, il est un peu plus complexe d'analyser toutes les techniques et tous les logiciels utilisés par le groupe. Pour les campagnes associées à un groupe, nous ne créerons pas de relations entre les techniques et le logiciel dans cette campagne et le groupe, si vous souhaitez afficher la liste inclusive, vous devrez combiner les ensembles de techniques et l'utilisation du logiciel.

Combinaison d'ensembles de techniques : pour obtenir une vue complète des techniques de groupe, vous devez combiner l'ensemble de techniques directement utilisées par le groupe avec l'ensemble de techniques utilisées par toutes leurs campagnes associées.

Cartographie de l'utilisation des objets logiciels : pour cartographier de manière globale l'utilisation des objets logiciels, vous identifierez les groupes, les campagnes attribuées aux groupes et les campagnes non attribuées utilisant le logiciel, et les combinerez pour obtenir une image complète.

Pour plus de détails techniques sur la façon de gérer la récupération de toutes les techniques ou logiciels qu'un groupe utilise à partir de la version v12 et sur la façon dont cela diffère de la v11 et des versions antérieures, veuillez vous reporter à la section Microbibliothèque des relations du document Utilisation de GitHub .

À quoi s'attendre à l'avenir

Nous continuerons à modifier et à créer des campagnes, dans le but ultime de revisiter les pages d'un groupe majeur dans ATT&CK et de reconstruire des campagnes antérieures pour refléter l'évolution de ces acteurs au fil du temps. Nous allons également déplacer l'attention des campagnes uniques ou non attribuées vers des campagnes plus complexes attribuées à certaines des entrées de groupe les plus peuplées, telles que l'intrusion SolarWinds et G0016/APT29 .

Les campagnes joueront également un rôle clé en reliant les différentes matrices ATT&CK - Enterprise (Cloud, Containers, macOS et Linux), Mobile et ICS, pour documenter davantage la façon dont les adversaires pivotent dans ces domaines en utilisant une variété de techniques pour atteindre leurs objectifs. .

Nous apprécions grandement les commentaires de la communauté sur les campagnes à ce jour, et alors que nous continuons à développer des campagnes, nous apprécions vos commentaires. Notre page Contributions sera mise à jour prochainement pour inclure des conseils plus détaillés et nous sommes impatients de vous contacter par e-mail , Slack ou Twitter .

©2022 La société MITRE. TOUS DROITS RÉSERVÉS. Approuvé pour diffusion publique. Distribution illimitée 22–00744–13.