Представляем кампании ATT&CK

Авторы: Эми Робертсон, Джаред Ондричек и Мэтт Мэлоун

Мы говорили о создании кампаний в ATT&CK в нашей дорожной карте ATT&CK 2022 , на ATT&CKCon 3.0 и совсем недавно в кратком обзоре анализа угроз SANS , но их выпуск уже близок! Наша первоначальная коллекция кампаний будет доступна, начиная с нашего выпуска ATT&CK v12 25 октября, когда вы сможете использовать структуру кампаний для всех ваших вариантов использования ATT&CK. Перед выпуском мы пользуемся возможностью, чтобы рассказать вам о нашем видении кампаний, ознакомить вас с элементами кампаний и рассказать о наших долгосрочных планах кампаний.

Видение кампаний

Для наших целей в ATT&CK мы используем «Кампании» для описания групп действий по вторжению, проводимых в течение определенного периода времени с общими целями и задачами. Ключевым аспектом кампаний является то, что действия могут быть связаны или не связаны с конкретным субъектом угрозы.

Наше видение кампаний состоит в том, чтобы предоставить пользователям еще один способ увидеть эволюцию вредоносных киберопераций. Действия злоумышленников в ATT&CK в настоящее время охватывают широкий набор действий, которые могут формировать целостную картину злоумышленника с течением времени. Но по мере развития противников их TTP часто меняются, и, введя некоторую структуру с кампаниями, мы надеемся, что вы сможете собрать более полезную информацию и контекст, чтобы определить приоритеты вашей защиты . Кампании позволят вам выявлять тенденции, отслеживать существенные изменения в методах, используемых различными участниками, и следить за появлением новых возможностей (или использованных уязвимостей). Вы также сможете определить, что злоумышленники продолжают полагаться на определенные методы, независимо от целей и/или целей кампании.

Кампании также позволят нам более точно классифицировать сложные действия по вторжению, в том числе связанные с несколькими угрозами (такие как операции Ransomware-as-a-Service), и анализировать перекрывающиеся операции, которым присвоено одно и то же имя. С новой структурой мы также преобразуем некоторые группы в ATT&CK в кампании. Это относится к группам, которые соответствуют нашему определению Кампании и имеют только один кластер активности (например, G0101/Франкенштейн и G0014/Ночной дракон).

В соответствии с нашей традицией тщательно интегрировать структурные элементы в ATT&CK, мы включим ограниченное количество кампаний в выпуск v12. Этот первоначальный набор кампаний будет включать в себя бывшие записи группы, которые более точно классифицируются как кампании, кураторское количество кампаний, связанных с существующими группами, а также кампании без атрибуции.

Элементы кампании

Мы структурировали кампании так, чтобы они визуально совпадали со страницами групп и программного обеспечения, а в выпуске v12 будет добавлена ​​новая кнопка «Кампании» на панели инструментов главной страницы для быстрого доступа.

На главной странице кампаний будет таблица «Кампании» с идентификационным номером, именем и описаниями действий. В списке доступных кампаний в левом столбце выделены кампании, добавленные или преобразованные на данный момент. Как мы уже говорили ранее, мы создали некоторую гибкость с точки зрения того, дается ли активности уникальное имя — ограничение, которое мы в настоящее время сталкиваемся с группами — позволяя просто ссылаться на кампанию по нашему собственному идентификатору (например, C0014), если она еще не приходит с именем.

Каждая запись Кампании будет содержать описание действий по вторжению, включая такие сведения, как известные целевые страны и секторы, если таковые имеются, а также любую информацию, которая делает эту Кампанию особенно примечательной.

Мы уделили особое внимание тому, как лучше всего зафиксировать период времени, связанный с кампанией. Мы выбрали поля «Впервые просмотренные» и «Последние просмотренные» в информационном поле с соответствующими справочными ссылками, чтобы пользователи могли видеть, как оценивалась кампания. Для действий по вторжению, которые, по оценке, продолжались на момент публикации отчета, мы добавим формулировку этого влияния в описание кампании (например, «По состоянию на сентябрь 2022 года исследователи безопасности оценили, что это действие продолжалось») и обновим будущие версии кампании ATT&CK. записи соответственно.

Как и в случае с группами и программным обеспечением, мы создали таблицу «Используемые методы», чтобы зафиксировать примеры процедур субъектов, наблюдаемых во время кампании, с парой существенных отличий.

1. Мы добавим как можно больше подробностей в отчеты о конкретных командах или шагах, предпринятых субъектами, чтобы помочь пользователям ATT&CK определить соответствующие возможности обнаружения и устранения последствий. Мы обнаружили, что эта концепция является более сложной для страниц группы и программного обеспечения, поскольку они имеют тенденцию объединять различные примеры отчетов с течением времени, что приводит к более общему языку примеров процедур.

2. Мы будем предварять наши примеры процедур кампании названием кампании или соответствующим идентификационным номером, чтобы отделить их от методов, уже найденных на странице группы. Мы понимаем, что полезность этого может быть не сразу очевидна при просмотре страницы Кампании, но это позволяет выделять примеры процедур отдельно, когда Кампания связана с Группой (и, надеюсь, обеспечивает более плавную интеграцию в будущем, если неатрибутированная Кампания позже приписывается Группе).

Что это означает для групп и программного обеспечения?

Мы внесли два ключевых изменения на страницы групп и программного обеспечения, поскольку они относятся к кампаниям. Как упоминалось ранее, методы и соответствующие примеры процедур, сопоставленные с Групповой атрибутивной кампанией, будут перенесены на соответствующую страницу Группы. Мы также продолжим сопоставлять примеры процедур, специфичных для Campaign, со страницами программного обеспечения.

Мы добавили таблицу «Кампании» на соответствующие страницы «Группа» и «Программное обеспечение», чтобы пользователи ATT&CK могли легко ссылаться на идентификационные номера кампаний, названия (если применимо) и описание кампании.

В противном случае страницы группы и программного обеспечения останутся визуально неизменными, и мы продолжим обновлять их отдельно в виде сводного списка всех наблюдаемых методов. В этом отношении мы хотим сохранить функциональность ATT&CK Navigator Layers для пользователей ATT&CK, которые хотят сосредоточиться на всех используемых методах, независимо от времени или цели.

Знакомство с объектом Campaign STIX

С добавлением кампаний в ATT&CK модель данных ATT&CK (которую можно найти в нашем документе об использовании ) расширилась, чтобы включить эти изменения. На приведенной ниже диаграмме показано, как все движущиеся части работают вместе, с новыми добавлениями типа объекта Campaign и отношениями, связанными с кампаниями. Важно отметить, что нет никаких изменений в объектах, которые ранее существовали в ATT&CK. Программное обеспечение, написанное для чтения более ранних версий ATT&CK, должно продолжать работать, несмотря на отсутствие данных, которые появляются только в кампаниях.

Теперь, когда вы ознакомились с нашей моделью данных, мы хотели бы представить вам звезду шоу — объект STIX Campaign . Как часть модели данных ATT&CK, он использует те же расширения STIX, что и там, например, x_mitre_version. Однако, в дополнение к этим ранее задокументированным полям, здесь приведено описание того, как ATT&CK использует каждое поле, уникальное для объекта Campaign:

Стандартные поля STIX:

• тип: соответствует спецификации STIX
• name: Имя, используемое для идентификации Кампании. Если имя не указано, то это поле будет содержать идентификатор ATT&CK в форме CXXXX.
• описание: соответствует спецификации STIX
• псевдонимы: используются для хранения связанных имен кампаний
• first_seen (отметка времени): период времени, когда эта Кампания была впервые просмотрена. ATT&CK использует это поле только на уровне детализации месяца/года. Парсеры должны игнорировать часть дня и времени этой временной метки при отображении информации о кампании ATT&CK.
• last_seen (отметка времени): время, когда эта Кампания в последний раз просматривалась или о ней сообщалось. ATT&CK использует это поле только на уровне детализации месяца/года. Парсеры должны игнорировать часть дня и времени этой временной метки при отображении информации о кампании ATT&CK.
• цель: Не используется ATT&CK

• x_mitre_first_seen_citation (string): От одного до многих упоминаний, когда о Кампании впервые сообщили в форме «(Citation: <название цитирования>)», где <имя цитирования> можно найти как одно из source_name одной из external_references.
• x_mitre_last_seen_citation (строка): От одного до многих упоминаний о Кампании, когда последний раз сообщалось о ней, в форме «(Цитирование: <имя цитирования>)», где <имя цитирования> можно найти как одно из source_name одной из external_references.

При сборе данных о группах, к которым относятся кампании, немного сложнее проанализировать все методы и программное обеспечение, которые используются группой. Для Кампаний, связанных с Группой, мы не будем создавать связи между методами и Программным обеспечением в этой Кампании и Группе. Если вы хотите просмотреть полный список, вам нужно будет объединить наборы методов и использование Программного обеспечения.

Объединение наборов приемов: чтобы получить полное представление о групповых приемах, вам необходимо объединить набор приемов, непосредственно используемых группой, с набором приемов, используемых всеми связанными с ними кампаниями.

Сопоставление использования объектов Программного обеспечения. Для целостного отображения использования объектов Программного обеспечения вы определите Группы, Кампании с атрибутами групп и Кампании без атрибутов, использующие Программное обеспечение, и объедините их для получения полной картины.

Для получения дополнительной технической информации о том, как обрабатывать получение всех Методов или Программного обеспечения, которое Группа использует, начиная с версии v12, и чем она отличается от версии v11 и предыдущих версий, см. раздел «Микробиблиотека отношений» документа GitHub Usage .

Чего ожидать в будущем

Мы продолжим модифицировать и создавать Кампании с конечной целью пересмотреть основные страницы Группы в ATT&CK и реконструировать более ранние Кампании, чтобы отразить эволюцию этих участников с течением времени. Мы также сместим акцент с одноразовых или неатрибутированных кампаний на более сложные кампании, связанные с некоторыми из наиболее распространенных групповых записей, таких как вторжение SolarWinds и G0016/APT29 .

Кампании также будут играть ключевую роль в объединении различных матриц ATT&CK — Enterprise (облако, контейнеры, macOS и Linux), Mobile и ICS, чтобы дополнительно документировать, как злоумышленники перемещаются между этими доменами, используя различные методы для достижения своих целей. .

Мы высоко ценим отзывы сообщества о кампаниях, и, поскольку мы продолжаем разрабатывать кампании, мы приветствуем ваш вклад. Наша страница «Вклады» будет обновлена ​​в ближайшем будущем и будет содержать более подробные инструкции, и мы с нетерпением ждем возможности связаться с вами по электронной почте , Slack или Twitter .

©2022 Корпорация MITRE. ВСЕ ПРАВА ЗАЩИЩЕНЫ. Одобрено для публичного выпуска. Рассылка без ограничений 22–00744–13.