ATT&CK Kampanyaları Tanıtımı

Yazan: Amy Robertson, Jared Ondricek ve Matt Malone

A TT&CK 2022 yol haritamızda , ATT&CKCon 3.0'da ve en son SANS Tehdit Analizi Özetinde ATT&CK'de Kampanyalar oluşturmaktan bahsettik, ancak bunların piyasaya sürülmesi artık yakın! İlk Kampanya koleksiyonumuz, tüm ATT&CK kullanım durumlarınız için Kampanyalar yapısından yararlanabileceğiniz 25 Ekim'deki ATT&CK v12 sürümümüzden itibaren kullanıma sunulacaktır. Yayınlanmadan önce, size Kampanyalar vizyonumuz hakkında bilgi verme, Kampanya öğeleri hakkında bir tur atma ve daha uzun vadeli Kampanya planlarımızı ele alma fırsatını değerlendiriyoruz.

Kampanya Vizyonu

ATT&CK'deki amaçlarımız doğrultusunda, ortak hedefler ve hedeflerle belirli bir süre boyunca yürütülen bir izinsiz giriş faaliyeti grubunu tanımlamak için "Kampanyaları" kullanıyoruz. Kampanyaların önemli bir yönü, etkinliğin belirli bir tehdit aktörüne bağlı olabileceği veya olmayabileceğidir.

Kampanyalar için vizyonumuz, kullanıcılara kötü amaçlı siber operasyonların gelişimini görmeleri için başka bir yol sağlamaktır. ATT&CK'deki tehdit aktörü faaliyeti, şu anda, zaman içinde düşmanın bütünsel bir resmini sağlayabilen geniş bir davranış kümesini kapsamaktadır. Ancak düşmanlar geliştikçe, TTP'leri sıklıkla değişir ve Harekâtlara bazı yapılar getirerek, savunma önceliklendirmeniz için bilgi verecek daha eyleme geçirilebilir istihbarat ve bağlam elde etmenize olanak sağlamayı umuyoruz . Kampanyalar, eğilimleri belirlemenize, çeşitli aktörler tarafından kullanılan tekniklerdeki önemli değişiklikleri izlemenize ve yeni yeteneklerin (veya istismar edilen güvenlik açıklarının) girişini izlemenize olanak tanır. Ayrıca, kampanya hedefi ve/veya hedeflerinden bağımsız olarak belirli tekniklere sürekli olarak güvenen tehdit aktörlerini tespit edebileceksiniz.

Kampanyalar ayrıca, birden çok tehdidi içerenler (Hizmet Olarak Fidye Yazılımı işlemleri gibi) dahil olmak üzere karmaşık izinsiz giriş etkinliklerini daha doğru bir şekilde kategorize etmemize ve aynı ad verilmiş çakışan işlemleri ayrıştırmamıza olanak tanır. Yeni yapıyla birlikte ATT&CK'deki bazı Grupları da Kampanyalara dönüştürüyor olacağız. Bu, Kampanya tanımımıza uyan ve yalnızca bir etkinlik kümesi (G0101/Frankenstein ve G0014/Night Dragon gibi) içeren Gruplar için geçerli olacaktır.

ATT&CK'ye yapısal öğeleri dikkatli bir şekilde entegre etme geleneğimiz olduğu gibi, v12 sürümüne sınırlı sayıda Kampanya ekleyeceğiz. Kampanyaların bu ilk koleksiyonu, Kampanyalar olarak daha doğru bir şekilde kategorize edilen eski Grup girişlerini, mevcut Gruplara bağlı seçilmiş sayıda Kampanyayı ve ayrıca ilişkilendirilmemiş Kampanyaları içerecektir.

Kampanya Öğeleri

Kampanyaları, Gruplar ve Yazılım sayfalarıyla görsel olarak uyumlu olacak şekilde yapılandırdık ve v12 sürümü, kolay erişim için ana sayfa araç çubuğuna yeni bir "Kampanyalar" düğmesi ekleyecek.

Kampanyalar ana sayfası, kimlik numarası, Ad ve etkinlik açıklamalarını içeren bir Kampanyalar tablosu içerecektir. Sol sütundaki mevcut Kampanyalar listesi, bugüne kadar eklenen veya dönüştürülen Kampanyaları vurgular. Daha önce ele aldığımız gibi, bir Kampanyaya kendi tanımlayıcımız (örn. C0014) tarafından basitçe başvurulmasına izin vererek, etkinliğe benzersiz bir ad verilip verilmeyeceği konusunda bir miktar esneklik yarattık - bu, şu anda Gruplarda karşılaştığımız bir sınırlamadır. zaten bir isimle gelmiyor.

Her Kampanya girişi, izinsiz giriş faaliyetinin bir tanımını içerecektir ve buna bilinen hedeflenen ülkeler ve varsa sektörler gibi ayrıntılar ve ayrıca bu Kampanyayı özellikle kayda değer kılan her türlü bilgi dahildir.

Özellikle dikkat ettiğimiz bir şey, bir Kampanya ile ilgili zaman dilimini en iyi şekilde nasıl yakalayacağımızdır. Bilgi kutusunda "İlk Görülen" ve "Son Görülen" alanlarını karşılık gelen referans alıntılarla birlikte seçtik, böylece kullanıcılar bir Kampanyanın kapsamının nasıl belirlendiğini görebilirler. Raporun yayınlandığı sırada devam ettiği değerlendirilen izinsiz giriş etkinliği için, Kampanya açıklamasında söz konusu etkiye bir dil ekleyeceğiz (ör. "Eylül 2022 itibarıyla güvenlik araştırmacıları bu etkinliğin devam ettiğini değerlendirdi") ve ATT&CK Kampanyasının gelecekteki sürümlerini güncelleyeceğiz buna göre girişler.

Gruplar ve Yazılımda olduğu gibi, bir Harekat sırasında gözlemlenen aktör prosedür örneklerini birkaç önemli farkla birlikte yakalamak için bir "Kullanılan Teknikler" tablosu oluşturduk.

1. ATT&CK kullanıcılarının karşılık gelen algılama ve azaltma fırsatlarını belirlemesine yardımcı olmak için aktörler tarafından alınan belirli komutlar veya adımlarla ilgili raporlamanın izin verdiği kadar ayrıntı ekleyeceğiz. Grup ve Yazılım sayfaları zaman içinde çeşitli raporlama örneklerini toplama eğiliminde olduğundan ve daha genel prosedür örnek diliyle sonuçlandığından, bu kavramın Grup ve Yazılım sayfaları için daha zorlayıcı olduğunu gördük.

2. Kampanya prosedür örneklerimizin başına, Kampanya adını veya ilgili kimlik numarasını ekleyerek, Grup sayfasında halihazırda bulunan tekniklerden ayıracağız. Bunun faydasının bir Kampanya sayfasına bakıldığında hemen anlaşılmayabileceğinin farkındayız, ancak bu, bir Kampanya bir Grupla ilişkilendirildiğinde prosedür örneklerinin ayrı ayrı öne çıkmasını sağlar (ve umarız, gelecekte aşağıdaki durumlarda daha sorunsuz entegrasyona izin verir) ilişkilendirilmemiş bir Kampanya daha sonra bir Gruba atfedilir).

Bunun Gruplar ve Yazılım için anlamı nedir?

Grup ve Yazılım sayfalarında Kampanyalarla ilgili iki önemli değişiklik yaptık. Daha önce bahsedildiği gibi, Grupla ilişkilendirilen bir Kampanyaya eşlenen teknikler ve ilgili prosedür örnekleri, ilgili Grup sayfasına taşınacaktır. Ayrıca Kampanyaya özgü prosedür örneklerini Yazılım sayfalarına eşlemeye devam edeceğiz.

İlişkili Grup ve Yazılım sayfalarına bir Kampanya tablosu ekledik, böylece ATT&CK kullanıcıları Kampanya Kimliği numaralarına, Adlara (varsa) ve Kampanya açıklamasına kolayca başvurabilir.

Aksi takdirde Grup ve Yazılım sayfaları görsel olarak değişmeden kalacaktır ve bunları, gözlemlenen tüm tekniklerin toplu bir listesi olarak ayrı ayrı güncellemeye devam edeceğiz. Zamandan ve hedeften bağımsız olarak kullanılan tüm tekniklere odaklanmak isteyen ATT&CK kullanıcıları için ATT&CK Navigator Katmanlarının işlevselliğini bu açıdan korumak istiyoruz.

Kampanya STIX Nesnesinin Tanıtımı

ATT&CK'ye Kampanyaların eklenmesiyle, ATT&CK Veri Modeli ( Kullanım belgemizde bulunabilir ) bu değişiklikleri kapsayacak şekilde genişledi. Aşağıdaki diyagram, Kampanya nesne tipinin yeni eklemeleri ve Kampanyalara bağlı İlişkiler ile tüm hareketli parçaların birlikte nasıl çalıştığını göstermektedir. ATT&CK'de önceden var olan nesnelerde herhangi bir değişiklik olmadığına dikkat etmek önemlidir. ATT&CK'nin önceki sürümlerini okumak için yazılan yazılımlar, yalnızca Kampanyalarda görünen eksik veriler olsa da çalışmaya devam etmelidir.

Artık veri modelimizi gördüğünüze göre, sizi gösterinin yıldızı olan STIX Kampanyası nesnesiyle tanıştırmak istiyoruz . ATT&CK Veri Modeli'nin bir parçası olarak, burada bulunan x_mitre_version gibi aynı STIX uzantılarını kullanır. Ancak, daha önce belgelenen alanlara ek olarak, burada ATT&CK'nin Kampanya nesnesine özgü her alanı nasıl kullandığının dökümü verilmiştir:

Standart STIX alanları:

• tip: STIX spesifikasyonunu takip eder
• ad: Kampanyayı tanımlamak için kullanılan ad. İsim verilmezse, bu alan CXXXX biçiminde bir ATT&CK tanımlayıcısı içerecektir.
• açıklama: STIX spesifikasyonuna uygundur
• takma adlar: İlişkili Kampanya adlarını tutmak için kullanılır
• first_seen (timestamp): Bu Kampanyanın ilk görüldüğü zaman çerçevesi. ATT&CK, bu alanı yalnızca ay/yıl ayrıntı düzeyinde kullanır. Bu zaman damgası alanının gün ve saat kısmı, ATT&CK Kampanya bilgilerini görüntülerken ayrıştırıcılar tarafından göz ardı edilmelidir.
• last_seen (timestamp): Bu Kampanyanın en son görüldüğü veya bildirildiği zaman. ATT&CK, bu alanı yalnızca ay/yıl ayrıntı düzeyinde kullanır. Bu zaman damgası alanının gün ve saat kısmı, ATT&CK Kampanya bilgilerini görüntülerken ayrıştırıcılar tarafından göz ardı edilmelidir.
• amaç: ATT&CK tarafından kullanılmaz

• x_mitre_first_seen_citation (dize): Kampanyanın ilk kez rapor edildiği zamana ait birden çok atıf “(Alıntı: <alıntı adı>)” biçimindedir; burada <alıntı adı>, harici_referanslardan birinin kaynak_adı olarak bulunabilir.
• x_mitre_last_seen_citation (string): Kampanyanın en son ne zaman rapor edildiğine ilişkin birden çok alıntı, “(Alıntı: <alıntı adı>)” biçimindedir; burada <alıntı adı>, harici_referanslardan birinin kaynak_adı olarak bulunabilir.

Kendilerine atfedilen Kampanyalara sahip Gruplar hakkında veri toplarken, Grup tarafından kullanılan tüm Teknikleri ve Yazılımları ayrıştırmak biraz daha karmaşıktır. Bir Grupla ilişkili Kampanyalar için, o Kampanya ve Gruptaki teknikler ve Yazılım arasında ilişkiler oluşturmayacağız, kapsayıcı listeyi görmek isterseniz, teknik setlerini ve Yazılım kullanımını birleştirmeniz gerekir.

Teknik Setleri Birleştirme: Kapsamlı bir Grup Tekniği görünümü elde etmek için, doğrudan Grup tarafından kullanılan Teknikler setini, ilgili tüm Harekâtlar tarafından kullanılan Teknikler setiyle birleştirmeniz gerekir.

Yazılım Nesnesi Kullanımını Haritalama: Yazılım nesnesi kullanımının bütüncül bir haritasını çıkarmak için, Yazılımı kullanarak Grupları, Grupla ilişkilendirilen Kampanyaları ve ilişkilendirilmemiş Kampanyaları belirleyecek ve resmin tamamı için birleştireceksiniz.

Bir Grubun v12 sürümünden itibaren kullandığı tüm Teknikleri veya Yazılımları almanın nasıl ele alınacağı ve bunun v11 ve önceki sürümlerden nasıl farklı olduğu hakkında daha fazla teknik ayrıntı için lütfen GitHub Kullanım belgesinin İlişkiler Mikro Kitaplığı bölümüne bakın .

İleriye Dönük Ne Beklenmeli?

ATT&CK'deki ana Grup sayfalarından birini yeniden ziyaret etme ve bu aktörlerin zaman içinde nasıl geliştiğini yansıtacak şekilde önceki Kampanyaları yeniden oluşturma hedefiyle Kampanyaları değiştirmeye ve oluşturmaya devam edeceğiz. Ayrıca odağı tek seferlik veya ilişkilendirilmemiş Kampanyalardan SolarWinds ihlali ve G0016/APT29 gibi daha kalabalık Grup girişlerinden bazılarına atfedilen daha karmaşık Kampanyalara kaydıracağız .

Kampanyalar aynı zamanda çeşitli ATT&CK matrislerini (Kurumsal (Bulut, Konteynerler, macOS ve Linux), Mobil ve ICS) birbirine bağlamada önemli bir rol oynayacak ve rakiplerin hedeflerine ulaşmak için çeşitli teknikler kullanarak bu alanlarda nasıl hareket ettiğini daha fazla belgeleyecektir. .

Topluluğun bugüne kadarki Kampanyalar hakkındaki geri bildirimlerini çok takdir ediyoruz ve Kampanyaları geliştirmeye devam ederken, katkılarınızı memnuniyetle karşılıyoruz. Katkılar sayfamız yakın gelecekte daha ayrıntılı rehberlik içerecek şekilde güncellenecek ve sizinle e-posta , Slack veya Twitter aracılığıyla bağlantı kurmak için sabırsızlanıyoruz .

©2022 MITRE Şirketi. HER HAKKI SAKLIDIR. Genel yayın için onaylandı. Dağıtım sınırsız 22–00744–13.