Przedstawiamy kampanie ATT&CK

Autorzy: Amy Robertson, Jared Ondricek i Matt Malone

Mówiliśmy o budowaniu kampanii w ATT&CK w naszej mapie drogowej A TT&CK 2022 , na ATT&CKCon 3.0 , a ostatnio w podsumowaniu analizy zagrożeń SANS , ale ich wydanie jest już bliskie! Nasza początkowa kolekcja kampanii będzie dostępna począwszy od wydania ATT&CK v12 25 października, kiedy to będzie można wykorzystać strukturę kampanii do wszystkich przypadków użycia ATT&CK. Przed premierą korzystamy z okazji, aby przedstawić wam naszą wizję kampanii, omówić elementy kampanii i omówić nasze długoterminowe plany kampanii.

Wizja kampanii

Dla naszych celów w ATT&CK używamy „Kampanii” do opisania grupowania działań związanych z włamaniami prowadzonymi w określonym czasie ze wspólnymi celami i celami. Kluczowym aspektem kampanii jest to, że aktywność może, ale nie musi, być powiązana z określonym cyberprzestępcą.

Naszą wizją Kampanii jest zapewnienie użytkownikom innego sposobu oglądania ewolucji złośliwych operacji cybernetycznych. Aktywność aktorów stanowiących zagrożenie w ATT&CK obejmuje obecnie szeroki zestaw zachowań, które mogą dostarczyć całościowego obrazu przeciwnika w czasie. Jednak wraz z ewolucją przeciwników, ich TTP często się zmieniają, a wprowadzając pewną strukturę do kampanii, mamy nadzieję, że pozwolimy wam zebrać więcej przydatnych informacji i kontekstu, aby określić priorytety obrony . Kampanie pozwolą Ci identyfikować trendy, śledzić istotne zmiany w technikach stosowanych przez różne podmioty oraz monitorować wprowadzanie nowych możliwości (lub wykorzystywanych luk). Będziesz także w stanie zidentyfikować ciągłą zależność cyberprzestępców od pewnych technik, niezależnie od celu i/lub celów kampanii.

Kampanie pozwolą nam również dokładniej kategoryzować złożone działania związane z włamaniami, w tym te obejmujące wiele zagrożeń (takie jak operacje Ransomware jako usługa) oraz analizować nakładające się operacje, którym nadano tę samą nazwę. Dzięki nowej strukturze przekształcimy również niektóre grupy w ATT&CK w kampanie. Dotyczy to grup, które spełniają naszą definicję kampanii i obejmują tylko jeden klaster aktywności (takich jak G0101/Frankenstein i G0014/Night Dragon).

Zgodnie z naszą tradycją starannego integrowania elementów strukturalnych w ATT&CK, do wersji 12 włączymy ograniczoną liczbę kampanii. Ta początkowa kolekcja Kampanii będzie zawierała wcześniejsze wpisy Grup, które są dokładniej sklasyfikowane jako Kampanie, wyselekcjonowaną liczbę Kampanii połączonych z istniejącymi Grupami, a także Kampanie nieprzypisane.

Elementy kampanii

Zorganizowaliśmy kampanie, aby wizualnie dopasować je do stron grup i oprogramowania, a wersja 12 będzie zawierała nowy przycisk „Kampanie” na pasku narzędzi strony głównej, aby ułatwić dostęp.

Strona główna Kampanii będzie zawierała tabelę Kampanie zawierającą numer identyfikacyjny, nazwę i opisy działań. Lista dostępnych kampanii w lewej kolumnie zawiera kampanie dodane lub przekonwertowane do tej pory. Jak już wspomnieliśmy, zapewniliśmy pewną elastyczność w zakresie nadania aktywności unikatowej nazwy — ograniczenie, z którym obecnie borykamy się w przypadku Grup — umożliwiając proste odniesienie do kampanii za pomocą naszego własnego identyfikatora (np. C0014), jeśli nie ma już imienia.

Każdy wpis w Kampanii będzie zawierał opis działań włamań, w tym szczegółowe informacje, takie jak znane docelowe kraje i sektory, jeśli są dostępne, a także wszelkie informacje, które czynią tę kampanię szczególnie godną uwagi.

Coś, na co szczególnie zwracaliśmy uwagę, to jak najlepiej uchwycić okres czasu związany z kampanią. Zdecydowaliśmy się na pola „Pierwszy widziany” i „Ostatni widziany” w polu informacyjnym z odpowiednimi cytatami referencyjnymi, aby użytkownicy mogli zobaczyć, jaki był zakres kampanii. W przypadku aktywności włamań ocenianej jako trwająca w momencie publikacji raportu, dodamy odpowiedni język w opisie kampanii (np. „Od września 2022 r. analitycy bezpieczeństwa ocenili, że ta aktywność była w toku”) i zaktualizujemy przyszłe wersje kampanii ATT&CK wpisy odpowiednio.

Podobnie jak w przypadku grup i oprogramowania, stworzyliśmy tabelę „Stosowane techniki”, aby uchwycić przykłady procedur aktorów zaobserwowanych podczas kampanii, z kilkoma istotnymi różnicami.

1. Dodamy tyle szczegółów, na ile pozwala raportowanie, dotyczących konkretnych poleceń lub kroków podjętych przez aktorów, aby pomóc użytkownikom ATT&CK zidentyfikować odpowiednie możliwości wykrywania i łagodzenia skutków. Stwierdziliśmy, że ta koncepcja jest trudniejsza w przypadku stron Grupy i Oprogramowania, ponieważ mają one tendencję do agregowania różnych przykładów raportów w czasie, co skutkuje bardziej ogólnym językiem przykładowych procedur.

2. Nasze przykłady procedur kampanii poprzedzimy nazwą kampanii lub powiązanym numerem identyfikacyjnym, aby oddzielić je od technik, które już można znaleźć na stronie grupy. Zdajemy sobie sprawę, że przydatność tego może nie być od razu widoczna podczas przeglądania strony Kampanii, ale pozwala to wyróżnić przykłady procedur oddzielnie, gdy Kampania jest powiązana z Grupą (i miejmy nadzieję, że pozwoli to na płynniejszą integrację w przyszłości, jeśli nieprzypisana Kampania jest później przypisywana do Grupy).

Co to oznacza dla grup i oprogramowania?

Wprowadziliśmy dwie kluczowe zmiany na stronach Grupy i Oprogramowania w odniesieniu do kampanii. Jak wspomniano wcześniej, techniki i odpowiednie przykłady procedur zmapowane do Kampanii przypisanej do Grupy zostaną przeniesione na powiązaną stronę Grupy. Będziemy również nadal mapować przykłady procedur specyficznych dla kampanii na strony oprogramowania.

Dodaliśmy tabelę Kampanie do powiązanych stron Grupy i Oprogramowania, dzięki czemu użytkownicy ATT&CK mogą łatwo odwoływać się do numerów identyfikacyjnych kampanii, Nazw (jeśli dotyczy) oraz opisu Kampanii.

Poza tym strony grup i oprogramowania pozostaną wizualnie niezmienione, a my będziemy nadal aktualizować je osobno jako zbiorczą listę wszystkich obserwowanych technik. Chcemy zachować funkcjonalność ATT&CK Navigator Layers w tym zakresie dla użytkowników ATT&CK, którzy chcą skupić się na wszystkich stosowanych technikach niezależnie od czasu i celu.

Przedstawiamy obiekt STIX kampanii

Wraz z dodaniem Kampanii do ATT&CK model danych ATT&CK (który można znaleźć w naszym dokumencie dotyczącym użytkowania ) został rozszerzony, aby uwzględnić te zmiany. Poniższy diagram przedstawia, jak wszystkie ruchome elementy współpracują ze sobą, z nowymi obiektami typu Kampania i Relacjami połączonymi z Kampaniami. Należy zauważyć, że nie ma żadnych zmian w obiektach, które wcześniej istniały w ATT&CK. Oprogramowanie napisane do odczytu wcześniejszych wersji ATT&CK powinno nadal działać, chociaż brakuje danych, które pojawiają się tylko w Kampaniach.

Teraz, gdy już zapoznałeś się z naszym modelem danych, chcielibyśmy przedstawić Ci gwiazdę programu — obiekt kampanii STIX . Jako część modelu danych ATT&CK wykorzystuje te same rozszerzenia STIX, które można tam znaleźć, takie jak x_mitre_version. Jednak oprócz tych wcześniej udokumentowanych pól, poniżej znajduje się zestawienie sposobu, w jaki ATT&CK wykorzystuje każde pole, które jest unikalne dla obiektu Kampania:

Standardowe pola STIX:

• typ: zgodny ze specyfikacją STIX
• nazwa: nazwa używana do identyfikacji kampanii. Jeżeli nie zostanie podana nazwa, to pole to będzie zawierało identyfikator ATT&CK w postaci CXXXX
• opis: zgodny ze specyfikacją STIX
• aliasy: używane do przechowywania powiązanych nazw kampanii
• first_seen (sygnatura czasowa): przedział czasowy, w którym ta kampania została po raz pierwszy wyświetlona. ATT&CK wykorzystuje to pole tylko do poziomu szczegółowości miesiąc/rok. Część dnia i godziny tego pola znacznika czasu powinna być ignorowana przez parsery podczas wyświetlania informacji o kampanii ATT&CK
• last_seen (znacznik czasu): czas ostatniego wyświetlenia lub zgłoszenia tej kampanii. ATT&CK wykorzystuje to pole tylko do poziomu szczegółowości miesiąc/rok. Część dnia i godziny tego pola znacznika czasu powinna być ignorowana przez parsery podczas wyświetlania informacji o kampanii ATT&CK
• cel: Nie używany przez ATT&CK

• x_mitre_first_seen_citation (string): od jednego do wielu cytatów, kiedy kampania została po raz pierwszy zgłoszona w formie „(Citation: <nazwa cytatu>)”, gdzie <nazwa cytatu> można znaleźć jako jeden z nazwa_źródła jednego z odnośników_zewnętrznych.
• x_mitre_last_seen_citation (string): od jednego do wielu cytatów dotyczących ostatniego zgłoszenia kampanii w formularzu „(Cytat: <nazwa cytatu>)”, gdzie <nazwa cytatu> można znaleźć jako jeden z nazwa_źródła jednego z odnośników_zewnętrznych.

Podczas zbierania danych o grupach, do których przypisano kampanie, nieco bardziej skomplikowane jest przeanalizowanie wszystkich technik i oprogramowania używanych przez grupę. W przypadku Kampanii powiązanych z Grupą nie będziemy tworzyć relacji między technikami i Oprogramowaniem w tej Kampanii i Grupie. Jeśli chcesz wyświetlić pełną listę, musisz połączyć zestawy technik i wykorzystanie Oprogramowania.

Łączenie zestawów technik: Aby uzyskać kompleksowy widok technik grupowych, musisz połączyć zestaw technik, które są bezpośrednio używane przez grupę, z zestawem technik używanych przez wszystkie powiązane z nią kampanie.

Mapowanie użycia obiektu oprogramowania: Aby całościowo zmapować użycie obiektu oprogramowania, należy zidentyfikować grupy, kampanie przypisane do grupy i kampanie nieprzypisane korzystające z oprogramowania i połączyć je w celu uzyskania pełnego obrazu.

Więcej informacji technicznych na temat pobierania wszystkich Technik lub Oprogramowania używanych przez Grupę począwszy od wersji 12 oraz różnic w stosunku do wersji 11 i wcześniejszych znajduje się w sekcji Relationships Microlibrary dokumentu GitHub Usage .

Czego można się spodziewać w przyszłości

Będziemy nadal modyfikować i budować kampanie, a ostatecznym celem będzie ponowne odwiedzenie głównych stron grupy w ATT&CK i zrekonstruowanie wcześniejszych kampanii, aby odzwierciedlić ewolucję tych aktorów na przestrzeni czasu. Przesuniemy również punkt ciężkości z jednorazowych lub nieprzypisanych kampanii na bardziej złożone kampanie przypisane do niektórych bardziej zaludnionych wpisów grup, takich jak wtargnięcie SolarWinds i G0016/APT29 .

Kampanie będą również odgrywać kluczową rolę w łączeniu różnych macierzy ATT&CK — Enterprise (chmura, kontenery, macOS i Linux), Mobile i ICS, aby dalej dokumentować, w jaki sposób przeciwnicy poruszają się po tych domenach przy użyciu różnych technik, aby osiągnąć swoje cele .

Jesteśmy bardzo wdzięczni za opinie społeczności na temat dotychczasowych kampanii, a ponieważ nadal rozwijamy kampanie, czekamy na Twój wkład. Nasza strona z wkładami zostanie wkrótce zaktualizowana i będzie zawierała bardziej szczegółowe wskazówki. Nie możemy się doczekać kontaktu z Tobą przez e-mail , Slack lub Twitter .

©2022 Korporacja MITER. WSZELKIE PRAWA ZASTRZEŻONE. Zatwierdzony do publikacji publicznej. Dystrybucja nieograniczona 22–00744–13.