Apresentando as Campanhas ATT&CK

Por: Amy Robertson, Jared Ondricek e Matt Malone

Falamos sobre a criação de campanhas no ATT&CK em nosso roteiro A TT&CK 2022 , no ATT&CKCon 3.0 e, mais recentemente, no SANS Threat Analysis Rundown , mas o lançamento deles está próximo! Nossa coleção inicial de Campanhas estará disponível a partir de nosso lançamento ATT&CK v12 em 25 de outubro, quando você poderá aproveitar a estrutura de Campanhas para todos os seus casos de uso ATT&CK. Antes do lançamento, estamos aproveitando a oportunidade para orientá-lo em nossa visão de Campanhas, fazer um tour pelos elementos de Campanhas e cobrir nossos planos de Campanhas de longo prazo.

A Visão das Campanhas

Para nossos propósitos no ATT&CK, usamos “Campanhas” para descrever um agrupamento de atividades de intrusão realizadas durante um período de tempo específico com alvos e objetivos comuns. Um aspecto fundamental das Campanhas é que a atividade pode ou não estar vinculada a um ator de ameaça específico.

Nossa visão para Campanhas é fornecer aos usuários outra maneira de visualizar a evolução das operações cibernéticas maliciosas. A atividade do agente de ameaças no ATT&CK atualmente abrange um amplo conjunto de comportamentos que podem informar uma imagem holística do adversário ao longo do tempo. Mas, à medida que os adversários evoluem, seus TTPs geralmente mudam e, ao introduzir alguma estrutura com as Campanhas, esperamos permitir que você obtenha informações e contextos mais acionáveis ​​para informar sua priorização de defesa . As campanhas permitirão que você identifique tendências, rastreie mudanças significativas nas técnicas usadas por vários atores e monitore a introdução de novos recursos (ou vulnerabilidades exploradas). Você também será capaz de identificar a dependência contínua do agente da ameaça em determinadas técnicas, independentemente do objetivo e/ou alvos da campanha.

As campanhas também nos permitirão categorizar com mais precisão atividades de invasão complexas, incluindo aquelas que envolvem várias ameaças (como operações de Ransomware-as-a-Service) e analisar operações sobrepostas que receberam o mesmo nome. Com a nova estrutura, também estaremos convertendo alguns dos Grupos em ATT&CK para Campanhas. Isso se aplica a grupos que atendem à nossa definição de campanha e apresentam apenas um cluster de atividade (como G0101/Frankenstein e G0014/Night Dragon).

Como é nossa tradição de integrar cuidadosamente elementos estruturais no ATT&CK, iremos incorporar um número limitado de Campanhas na versão v12. Esta coleção inicial de Campanhas apresentará entradas de grupos anteriores que são categorizadas com mais precisão como Campanhas, um número selecionado de Campanhas vinculadas a Grupos existentes, bem como Campanhas não atribuídas.

Elementos da campanha

Estruturamos as campanhas para alinhar visualmente com as páginas de grupos e software, e a versão v12 incluirá um novo botão “Campanhas” na barra de ferramentas da página principal para facilitar o acesso.

A página inicial de Campanhas incluirá uma tabela de Campanhas com número de ID, Nome e descrições de atividades. A lista de Campanhas disponíveis na coluna da esquerda destaca as Campanhas adicionadas ou convertidas até o momento. Como abordamos anteriormente, criamos alguma flexibilidade em termos de se a atividade recebeu ou não um nome exclusivo - uma limitação que enfrentamos atualmente com Grupos - permitindo que uma Campanha seja simplesmente referenciada por nosso próprio identificador (por exemplo, C0014) se já não vem com um nome.

Cada entrada da Campanha apresentará uma descrição da atividade de invasão, incluindo detalhes como países e setores alvo conhecidos, quando disponíveis, bem como qualquer informação que torne esta Campanha particularmente digna de nota.

Algo em que estamos particularmente atentos é como capturar melhor o período de tempo relacionado a uma Campanha. Optamos pelos campos “First Seen” e “Last Seen” na caixa de informação, com as respetivas citações de referência, para que os utilizadores possam ver como foi delimitada uma Campanha. Para atividade de intrusão avaliada como contínua no momento da publicação do relatório, adicionaremos linguagem para afetar a descrição da campanha (por exemplo, “em setembro de 2022, pesquisadores de segurança avaliaram que esta atividade estava em andamento”) e atualizaremos as versões futuras da campanha ATT&CK entradas de acordo.

Assim como em Grupos e Software, criamos uma tabela de “Técnicas Usadas” para capturar exemplos de procedimentos de atores observados durante uma Campanha, com algumas diferenças significativas.

1. Adicionaremos o máximo de detalhes que o relatório permitir em relação a comandos ou etapas específicas tomadas pelos atores, para ajudar os usuários do ATT&CK a identificar oportunidades de detecção e mitigação correspondentes. Descobrimos que esse conceito é mais desafiador para páginas de grupo e software, pois elas tendem a agregar uma variedade de exemplos de relatórios ao longo do tempo, resultando em uma linguagem de exemplo de procedimento mais genérica.

2. Prefaciaremos nossos exemplos de procedimento de campanha com o nome da campanha ou número de ID associado, para separá-lo das técnicas já encontradas em uma página de grupo. Percebemos que a utilidade disso pode não ser imediatamente evidente ao olhar para uma página de campanha, mas isso permite que os exemplos de procedimento se destaquem separadamente quando uma campanha está associada a um grupo (e, esperançosamente, permite uma integração mais suave no futuro se uma Campanha não atribuída é posteriormente atribuída a um Grupo).

O que isso significa para Grupos e Software?

Fizemos duas alterações importantes nas páginas de Grupo e Software no que se refere a Campanhas. Conforme mencionado anteriormente, as técnicas e os exemplos de procedimentos correspondentes mapeados para uma campanha atribuída ao grupo serão transferidos para a página do grupo associado. Também continuaremos a mapear exemplos de procedimentos específicos do Campaign para páginas de software.

Adicionamos uma tabela de campanhas às páginas de grupo e software associadas, para que os usuários do ATT&CK possam consultar facilmente os números de ID da campanha, nomes (quando aplicável) e a descrição da campanha.

Caso contrário, as páginas de grupo e software permanecerão visualmente inalteradas e continuaremos a atualizá-las separadamente como uma lista coletiva de todas as técnicas observadas. Queremos preservar a funcionalidade do ATT&CK Navigator Layers a esse respeito, para usuários do ATT&CK que desejam se concentrar em todas as técnicas usadas, independentemente do tempo ou alvo.

Apresentando o objeto STIX da campanha

Com a adição de Campanhas ao ATT&CK, o Modelo de Dados ATT&CK (que pode ser encontrado em nosso documento de Uso ) foi expandido para abranger essas mudanças. O diagrama abaixo retrata como todas as peças móveis funcionam juntas, com as novas adições do tipo de objeto Campanha e os Relacionamentos conectados a Campanhas. É importante observar que não há alterações em objetos que existiam anteriormente no ATT&CK. O software escrito para ler versões anteriores do ATT&CK deve continuar funcionando, embora falte dados que só aparecem em Campanhas.

Agora que você viu nosso modelo de dados, gostaríamos de apresentá-lo à estrela do show — o objeto STIX Campaign . Como parte do modelo de dados ATT&CK, ele faz uso das mesmas extensões STIX que podem ser encontradas lá, como x_mitre_version. No entanto, além dos campos previamente documentados, aqui está o detalhamento de como o ATT&CK utiliza cada campo exclusivo do objeto Campanha:

Campos STIX padrão:

• tipo: Segue a especificação STIX
• name: O nome usado para identificar a Campanha. Se nenhum nome for fornecido, este campo conterá um identificador ATT&CK no formato CXXXX
• descrição: Segue a especificação STIX
• aliases: usados ​​para manter nomes de campanha associados
• first_seen (timestamp): O intervalo de tempo em que esta campanha foi vista pela primeira vez. A ATT&CK faz uso deste campo apenas no nível de granularidade mês/ano. A parte de dia e hora deste campo de carimbo de data/hora deve ser ignorada pelos analisadores ao exibir informações da campanha ATT&CK
• last_seen (timestamp): A hora em que esta campanha foi vista ou relatada pela última vez. A ATT&CK faz uso deste campo apenas no nível de granularidade mês/ano. A parte de dia e hora deste campo de carimbo de data/hora deve ser ignorada pelos analisadores ao exibir informações da campanha ATT&CK
• objetivo: Não usado pela ATT&CK

• x_mitre_first_seen_citation (string): Uma ou várias citações para quando a Campanha foi relatada pela primeira vez no formato “(Citação: <citation name>)” onde <citation name> pode ser encontrado como um dos source_name de uma das external_references.
• x_mitre_last_seen_citation (string): Uma ou várias citações para quando a Campanha foi relatada pela última vez no formato “(Citação: <citation name>)” onde <citation name> pode ser encontrado como um dos source_name de uma das external_references.

Ao coletar dados sobre Grupos que têm Campanhas atribuídas a eles, é um pouco mais complexo analisar todas as Técnicas e Softwares usados ​​pelo Grupo. Para Campanhas associadas a um Grupo, não criaremos relacionamentos entre técnicas e Software nessa Campanha e no Grupo. Se desejar visualizar a lista inclusiva, você precisará combinar conjuntos de técnicas e uso de Software.

Combinando Conjuntos de Técnicas: Para obter uma visão abrangente da Técnica do Grupo, você precisará combinar o conjunto de Técnicas que são usadas diretamente pelo Grupo com o conjunto de Técnicas usadas por todas as suas Campanhas associadas.

Mapeamento do uso do objeto de software: para mapear de forma holística o uso do objeto de software, você identificará os grupos, as campanhas atribuídas ao grupo e as campanhas não atribuídas usando o software e as combinará para obter uma imagem completa.

Para obter mais detalhes técnicos sobre como lidar com a recuperação de todas as técnicas ou software que um grupo usa a partir da versão v12 e como ela difere da v11 e das versões anteriores, consulte a seção Microbiblioteca de relacionamentos do documento Uso do GitHub .

O que esperar daqui para frente

Continuaremos modificando e desenvolvendo Campanhas, com o objetivo final de revisitar as principais páginas do Grupo no ATT&CK e reconstruir Campanhas anteriores para refletir como esses atores evoluíram ao longo do tempo. Também mudaremos o foco de campanhas únicas ou não atribuídas para campanhas mais complexas atribuídas a algumas das entradas de grupo mais populosas, como a intrusão SolarWinds e G0016/APT29 .

As campanhas também terão um papel fundamental ao unir as várias matrizes ATT&CK — Enterprise (Cloud, Containers, macOS e Linux), Mobile e ICS, para documentar ainda mais como os adversários giram nesses domínios usando uma variedade de técnicas para atingir seus objetivos .

Agradecemos imensamente o feedback da comunidade sobre as Campanhas até o momento e, à medida que continuamos a desenvolver as Campanhas, agradecemos sua opinião. Nossa página de Contribuições será atualizada em um futuro próximo para incluir orientações mais detalhadas e esperamos entrar em contato com você por e-mail , Slack ou Twitter .

©2022 The MITRE Corporation. TODOS OS DIREITOS RESERVADOS. Aprovado para divulgação pública. Distribuição ilimitada 22–00744–13.