Memperkenalkan Kampanye ATT&CK

Oleh: Amy Robertson, Jared Ondricek, dan Matt Malone

Kami telah berbicara tentang membuat Kampanye ke dalam ATT&CK dalam peta jalan A TT&CK 2022 kami , di ATT&CKCon 3.0 , dan yang terbaru di Rundown Analisis Ancaman SANS tetapi peluncurannya sekarang sudah dekat! Koleksi awal Kampanye kami akan tersedia mulai dengan rilis ATT&CK v12 kami pada tanggal 25 Oktober, saat Anda dapat memanfaatkan struktur Kampanye untuk semua kasus penggunaan ATT&CK Anda. Sebelum rilis, kami mengambil kesempatan untuk memandu Anda melalui visi kami untuk Kampanye, memberi Anda tur elemen Kampanye, dan membahas rencana Kampanye jangka panjang kami.

Visi Kampanye

Untuk tujuan kami di ATT&CK, kami menggunakan "Kampanye" untuk mendeskripsikan pengelompokan aktivitas intrusi yang dilakukan selama periode waktu tertentu dengan target dan tujuan yang sama. Aspek kunci dari Kampanye adalah bahwa aktivitas tersebut mungkin terkait atau tidak terkait dengan pelaku ancaman tertentu.

Visi kami untuk Kampanye adalah memberi pengguna cara lain untuk melihat evolusi operasi dunia maya yang berbahaya. Aktivitas aktor ancaman di ATT&CK saat ini mencakup serangkaian perilaku luas yang dapat memberikan gambaran menyeluruh tentang musuh dari waktu ke waktu. Namun seiring berkembangnya musuh, TTP mereka sering berubah, dan dengan memperkenalkan beberapa struktur dengan Kampanye, kami berharap Anda dapat memperoleh lebih banyak intelijen dan konteks yang dapat ditindaklanjuti untuk menginformasikan prioritas pertahanan Anda . Kampanye akan memungkinkan Anda mengidentifikasi tren, melacak perubahan signifikan dalam teknik yang digunakan oleh berbagai pelaku, dan memantau pengenalan kemampuan baru (atau kerentanan yang dieksploitasi). Anda juga dapat mengidentifikasi ketergantungan aktor ancaman yang berkelanjutan pada teknik tertentu terlepas dari tujuan dan/atau target kampanye.

Kampanye juga akan memungkinkan kami mengkategorikan aktivitas intrusi kompleks dengan lebih akurat, termasuk aktivitas yang melibatkan banyak ancaman (seperti operasi Ransomware-as-a-Service) dan memilah operasi yang tumpang tindih yang diberi nama yang sama. Dengan struktur baru, kami juga akan mengonversi beberapa Grup di ATT&CK menjadi Kampanye. Ini akan berlaku untuk Grup yang memenuhi definisi Kampanye kami dan hanya menampilkan satu kluster aktivitas (seperti G0101/Frankenstein dan G0014/Night Dragon).

Seperti tradisi kami dalam mengintegrasikan elemen struktural dengan hati-hati di ATT&CK, kami akan memasukkan Kampanye dalam jumlah terbatas ke dalam rilis v12. Kumpulan awal Kampanye ini akan menampilkan entri Grup sebelumnya yang dikategorikan lebih akurat sebagai Kampanye, sejumlah Kampanye pilihan yang ditautkan ke Grup yang ada, serta Kampanye tanpa atribut.

Elemen Kampanye

Kami menyusun Kampanye agar selaras secara visual dengan laman Grup dan Perangkat Lunak, dan rilis v12 akan menampilkan tambahan tombol "Kampanye" baru di bilah alat laman utama untuk memudahkan akses.

Beranda Kampanye akan menyertakan tabel Kampanye yang menampilkan nomor ID, Nama, dan deskripsi aktivitas. Daftar Kampanye yang tersedia di kolom kiri menyoroti Kampanye yang ditambahkan atau dikonversi ke tanggal. Seperti yang telah kami bahas sebelumnya, kami membuat beberapa fleksibilitas dalam hal apakah aktivitas diberi nama unik atau tidak — batasan yang saat ini kami hadapi dengan Grup — dengan mengizinkan Kampanye direferensikan oleh pengidentifikasi kami sendiri (mis., C0014) jika itu belum datang dengan nama.

Setiap entri Kampanye akan menampilkan deskripsi aktivitas intrusi, termasuk detail seperti negara dan sektor target yang diketahui jika tersedia, serta informasi apa pun yang menjadikan Kampanye ini sangat penting.

Sesuatu yang sangat kami perhatikan adalah cara terbaik menangkap periode waktu yang terkait dengan Kampanye. Kami memilih bidang "Pertama Dilihat" dan "Terakhir Dilihat" di kotak informasi, dengan kutipan referensi yang sesuai, sehingga pengguna dapat melihat cakupan Kampanye. Untuk aktivitas intrusi yang dinilai sedang berlangsung pada saat publikasi laporan, kami akan menambahkan bahasa ke pengaruh tersebut dalam deskripsi Kampanye (misalnya, “Pada September 2022, peneliti keamanan menilai aktivitas ini sedang berlangsung”) dan memperbarui versi Kampanye ATT&CK yang akan datang entri yang sesuai.

Seperti Grup dan Perangkat Lunak, kami telah membuat tabel "Teknik yang Digunakan" untuk menangkap contoh prosedur aktor yang diamati selama Kampanye, dengan beberapa perbedaan yang signifikan.

1. Kami akan menambahkan sebanyak mungkin detail pelaporan terkait perintah atau langkah spesifik yang diambil oleh pelaku, untuk membantu pengguna ATT&CK mengidentifikasi peluang deteksi dan mitigasi yang sesuai. Kami mendapati konsep ini lebih menantang untuk laman Grup dan Perangkat Lunak, karena laman tersebut cenderung menggabungkan berbagai contoh pelaporan dari waktu ke waktu, menghasilkan bahasa contoh prosedur yang lebih umum.

2. Kami akan mengawali contoh prosedur Kampanye kami dengan nama Kampanye atau nomor ID terkait, untuk memisahkannya dari teknik yang sudah ditemukan di halaman Grup. Kami menyadari kegunaannya mungkin tidak langsung terlihat saat melihat halaman Kampanye, tetapi ini memungkinkan contoh prosedur menonjol secara terpisah saat Kampanye dikaitkan dengan Grup (dan, semoga, memungkinkan integrasi yang lebih lancar di masa mendatang jika Kampanye tanpa atribut kemudian diatribusikan ke Grup).

Apa artinya ini bagi Grup dan Perangkat Lunak?

Kami telah membuat dua perubahan penting pada laman Grup dan Perangkat Lunak yang berkaitan dengan Kampanye. Seperti disebutkan sebelumnya, teknik dan contoh prosedur terkait yang dipetakan ke Kampanye yang dikaitkan dengan Grup akan dibawa ke halaman Grup terkait. Kami juga akan terus memetakan contoh prosedur khusus Kampanye ke halaman Perangkat Lunak.

Kami telah menambahkan tabel Kampanye ke laman Grup dan Perangkat Lunak terkait, sehingga pengguna ATT&CK dapat dengan mudah mereferensikan nomor ID Kampanye, Nama (bila berlaku), dan deskripsi Kampanye.

Halaman Grup dan Perangkat Lunak akan tetap tidak berubah secara visual, dan kami akan terus memperbaruinya secara terpisah sebagai daftar kolektif dari semua teknik yang diamati. Kami ingin mempertahankan fungsionalitas ATT&CK Navigator Layers dalam hal itu, untuk pengguna ATT&CK yang ingin fokus pada semua teknik yang digunakan terlepas dari waktu atau target.

Memperkenalkan Objek Kampanye STIX

Dengan penambahan Kampanye ke ATT&CK, Model Data ATT&CK (yang dapat ditemukan di dokumen Penggunaan kami ), telah diperluas untuk mencakup perubahan ini. Diagram di bawah menggambarkan bagaimana semua bagian yang bergerak bekerja sama, dengan tambahan baru dari jenis objek Kampanye dan Hubungan yang terhubung ke Kampanye. Penting untuk diperhatikan, tidak ada perubahan pada objek yang sebelumnya ada di ATT&CK. Perangkat lunak yang ditulis untuk membaca versi ATT&CK sebelumnya akan terus berfungsi, meskipun data yang hilang hanya muncul di Kampanye.

Sekarang setelah Anda melihat model data kami, kami ingin memperkenalkan Anda pada bintang pertunjukan — objek Kampanye STIX . Sebagai bagian dari Model Data ATT&CK, ini menggunakan ekstensi STIX yang sama yang dapat ditemukan di sana, seperti x_mitre_version. Namun, selain kolom yang didokumentasikan sebelumnya, berikut adalah perincian tentang cara ATT&CK menggunakan setiap kolom yang unik untuk objek Kampanye:

Kolom STIX standar:

• type: Mengikuti spesifikasi STIX
• nama: Nama yang digunakan untuk mengidentifikasi Kampanye. Jika tidak ada nama yang diberikan, bidang ini akan berisi pengidentifikasi ATT&CK dalam bentuk CXXXX
• deskripsi: Mengikuti spesifikasi STIX
• aliases: Digunakan untuk menyimpan nama Kampanye terkait
• first_seen (timestamp): Jangka waktu saat Kampanye ini pertama kali terlihat. ATT&CK memanfaatkan bidang ini hanya untuk tingkat perincian bulan/tahun. Bagian hari dan waktu bidang stempel waktu ini harus diabaikan oleh parser saat menampilkan informasi Kampanye ATT&CK
• last_seen (timestamp): Waktu terakhir kali Kampanye ini dilihat atau dilaporkan. ATT&CK memanfaatkan bidang ini hanya untuk tingkat perincian bulan/tahun. Bagian hari dan waktu bidang stempel waktu ini harus diabaikan oleh parser saat menampilkan informasi Kampanye ATT&CK
• tujuan: Tidak digunakan oleh ATT&CK

• x_mitre_first_seen_citation (string): Satu ke banyak kutipan saat Kampanye pertama kali dilaporkan dalam bentuk “(Kutipan: <nama kutipan>)” di mana <nama kutipan> dapat ditemukan sebagai salah satu nama_sumber dari salah satu referensi_eksternal.
• x_mitre_last_seen_citation (string): Satu ke banyak kutipan saat Kampanye terakhir dilaporkan dalam bentuk “(Kutipan: <nama kutipan>)” di mana <nama kutipan> dapat ditemukan sebagai salah satu nama_sumber dari salah satu referensi_eksternal.

Saat mengumpulkan data tentang Grup yang memiliki Kampanye yang dikaitkan dengannya, agak lebih rumit untuk mengurai semua Teknik dan Perangkat Lunak yang digunakan oleh Grup. Untuk Kampanye yang terkait dengan Grup, kami tidak akan membuat hubungan antara teknik dan Perangkat Lunak dalam Kampanye dan Grup tersebut, jika Anda ingin melihat daftar inklusif, Anda harus menggabungkan rangkaian teknik dan penggunaan Perangkat Lunak.

Menggabungkan Set Teknik: Untuk mendapatkan tampilan Teknik Grup yang komprehensif, Anda harus menggabungkan set Teknik yang langsung digunakan oleh Grup dengan set Teknik yang digunakan oleh semua Kampanye terkait mereka.

Memetakan Penggunaan Objek Perangkat Lunak: Untuk memetakan penggunaan objek Perangkat Lunak secara holistik, Anda akan mengidentifikasi Grup, Kampanye yang dikaitkan dengan Grup, dan Kampanye yang tidak dikaitkan menggunakan Perangkat Lunak, dan menggabungkannya untuk gambaran lengkap.

Untuk detail teknis lebih lanjut tentang cara menangani pengambilan semua Teknik atau Perangkat Lunak yang digunakan Grup mulai dari rilis v12 dan perbedaannya dari rilis v11 dan rilis sebelumnya, silakan merujuk ke bagian Perpustakaan Mikro Hubungan dari dokumen Penggunaan GitHub .

Apa yang Diharapkan Kedepannya

Kami akan terus memodifikasi dan membangun Kampanye, dengan tujuan akhir untuk mengunjungi kembali halaman Grup utama di ATT&CK dan merekonstruksi Kampanye sebelumnya untuk mencerminkan bagaimana pelaku ini telah berkembang dari waktu ke waktu. Kami juga akan mengalihkan fokus dari Kampanye satu kali atau tanpa atribusi ke Kampanye yang lebih kompleks yang dikaitkan dengan beberapa entri Grup yang lebih padat, seperti intrusi SolarWinds dan G0016/APT29 .

Kampanye juga akan berperan penting dalam menyatukan berbagai matriks ATT&CK — Enterprise (Cloud, Containers, macOS, dan Linux), Seluler, dan ICS, untuk mendokumentasikan lebih lanjut bagaimana musuh berputar di seluruh domain ini menggunakan berbagai teknik untuk mencapai tujuan mereka .

Kami sangat menghargai umpan balik komunitas tentang Kampanye hingga saat ini, dan karena kami terus mengembangkan Kampanye, kami menyambut baik masukan Anda. Halaman Kontribusi kami akan diperbarui dalam waktu dekat untuk menyertakan panduan yang lebih terperinci dan kami berharap dapat terhubung dengan Anda melalui email , Slack , atau Twitter .

©2022 Perusahaan MITRE. SELURUH HAK CIPTA. Disetujui untuk rilis publik. Distribusi tidak terbatas 22–00744–13.