前沿安全论丨ATT&CK框架在安全运营中的利用
颁布功夫 2021-11-30威胁谍报是关于IT或信息资产所面对的现有或潜在威胁的循证知识 ，蕴含情境、机造、指标、推论与可行建议 ，这些知识可为威胁响应提供决策凭据。——Gartner在2014年颁发的《安全威胁谍报服务市场指南》（Market Guide for Security Threat Intelligence Service）中提出的界说。
凭据David J. Bianco在《The Pyramid of Pain》一文中提出的威胁谍报有关指标的金字塔模型 ，能够凭据数据自身将威胁谍报分为HASH值、IP地址、域名、网络或主机特点、TTPs（Tactics、Techniques & Procedures）。左侧是可能利用的谍报 ，右侧是这些谍报的价值和把握后给入侵者造成的疾苦水平。
威胁谍报中价值最低的是Hash值、IP地址和域名（也就是常说的特点库） ，其次是网络/主机特点、入侵工具特点 ，对入侵者影响最大的是TTPs（战术、技术和行为模式）类型的威胁谍报。而目前安全运营中大量使用的依然是基于HASH（特点库）、IP（护网行动中蓝队的通例的“封IP”行为）、域名、URL为基础凭据的威胁谍报 ，这些谍报在应对自动海量无自主见识的病毒较为有效 ，而在应对高级可持续威胁入侵方面的比力乏力 ，等闲被入侵者绕过。而ATT&CK框架的主题正是TTP ，用尺度说话描述敌手入侵行为 ，天然的为威胁谍报提供了高阶标签 ，在安全运营中 ，防御者能够凭据已知入侵者技术和战术来跟踪入侵主体 ，预警甚至预判可能的入侵行为和模式。
事俘：某经典的鱼叉式垂钓场景的威胁谍报构建
入侵团队利用微软Office宏文件的VBSript构建攻击代码 ，而后通过电子邮件进行鱼叉垂钓攻击 ，受害者执行代码后 ，主机被入侵节造 ，并用作跳板机进一步入侵内网。高阶威胁谍报的主题是鉴别并标识攻击者的技战法（TTP） ，因而选取ATT&CK框架来鉴别和构建入侵的TTP行为链条。如下 ，分列出入侵者使用的战术、技术以及对应的标签、缓解措施和检测伎俩。
1、信息网络：入侵者网络指标有关信息
2、初始接见：入侵者发送鱼叉式邮件诱导执行
3、代码执行：受害主机启用Office宏执行恶意代码
4、悠久化：创建服务过程、增长打算工作
5、防御躲避（假装）：RTLO字符从右往左覆盖假装正常文件名
6、号令与节造：成立荫蔽隧路、搭建内网代理
7、数据渗漏：成立C2隧路节造与数据窃取
8、影响：存储数据操作 ，篡改内容
最终形成入侵链条如下 ，把稳ATT&CK框架中的战术长短线性的。由上例可见 ，依照ATT&CK框架模型进行威胁建模 ，极大的方便了构建安全运营中高阶威胁谍报知识库 ，齐全的梳理出威胁行为的TTP、检测数据源以及防御措施 ，简化了溯源的流程和威胁谍报的创建过程 ，为安全运营中构建自动防御系统提供了有力的支持。
ATT&CK用于安全运营能力成熟评估实际
在现实安全运营中 ，好多安全主管都存在难以回覆的量化困境 ，例如：当前的安全防御系统有效性若何 ？安全投资和建设的优先级若何 ？实战演习是否推动了能力的提升 ？
同样对于安全运维人员 ，也存在难以回覆的问题：
是否可能匹敌当前盛行的APT攻击行为 ？海量的告警数据应该若何分析确定法规 ？若何验证运维团队的技术工作能力的有效性 ？
实际是检验真谛的唯一尺度 ，所有安全问题的有效性应该用实际的方式来检验。因而ATT&CK框架正是检验防御能力的有效伎俩。
（一）入侵者仿照打算
基于ATT&CK的入侵者仿照打算 ，能够选取两种方式：
1、实战入侵 ，依照ATT&CK的框架尺度 ，组织红队打算发展一系列基于威胁的安全测试 ，仿照真实入侵者的战术技术和过程 ，用实战检验防御系统的真实防御能力。
2、沙盘推演 ，让企业的红蓝团队选择分歧的角色 ，会商红队若何使用分歧步骤来执行攻击行为的 ，会商威胁谍报分析人员是若何溯源分析 ，安全运营人员是若何匹敌措置的 ，将ATT&CK作为通用说话进行沟通和推演。
这和通常的渗入测试有什么分歧呢 ？
渗入测试重要是单一团队的入侵测试 ，而基于ATT&CK的入侵者仿照打算重要在于能够仿照多个APT组织的入侵行为 ，而非单一组织的伎俩和大局 ，越发全面和有效。
并且 ，MITRE也创建有入侵者仿照打算 ，主张是让红队可能越发正确高效地仿照入侵行为 ，从而使得防守方可能越发有效地测试自己的网络防御能力。例如基于APT3创建的入侵者仿照规划 ，规划中齐全的复现了APT3入侵的所有流程。从而使得安全运营方可能越发有效地测试自己的保险系统应对各类APT组织入侵时的防御能力。
（二）安全运营能力成熟度评估
ATT&CK框架同样可利用于安全运营中心的防御能力成熟度评估 ，评估组织现有的防御系统 ，是否可能覆盖到所有已知入侵伎俩 ，辅助发现防御能力短板 ，推进美满防御系统框架。具体来说能够实现如下：
1、评估网络安全防御框架能力 ，典型场景是安全能力覆盖度评估 ，选取色块标价法 ，能够了如指掌安全的差距在哪里 ，还必要改进哪些 ？
2、当安全能力已经实现了全覆盖 ，接下来是必要评估安全能力的成熟度 ，将成熟度依照分歧的水平打分。例如多款产品均覆盖到了该能力 ，批注防御成熟度较高 ，可进行深色赋值 ，相反则进行淡色赋值 ，最终形成可视化水平较高的安全能力成熟度模型。
3、主流入侵技术热度评估。对于组织来说 ，相识入侵者时时使用入侵技术也极度沉要。因而能够凭据ATT＆CK知识库中存在的122个APT组织的TTP（战术、技术、过程）创建入侵技术热力争。
此时我们能够设想每一个APT组织使用的TTP都是在一块玻璃上涂色 ，当所有APT组织实现涂色后 ，把这些玻璃叠加起来就形成了GA黄金甲威胁组织数据的热力争 ，热力争中的色彩越深 ，则暗示入侵组织使用该技术的频率就越高。综上 ，将ATT&CK框架利用于安全运营中心 ，可能真实反映安全运营中心在面对APT组织威胁时的安全防御能力 ，同时能够验证安全运营中心在检测、分析和响应方面的能力成熟度 ，并借助于威胁谍报、溯源反造构建安全运营中心的自动防御系统。
2017年 ，GA黄金甲集团便在行业率先开创性地提出“独立第三方安全运营”概想 ，为城市当局机构、企业及智慧城市建设 ，提供托管式、表包式的7x24幼时专业安全运营服务 ，为城市打造专职的网络空间安全应急响应中心 ，提高针对当局机构、企业及网络空间风险事务的发现与响应能力、加强对潜在入侵的监测和调查能力,由区域性第三方安全运营中心为城市提供专业的托管式安全服务 ，是有效提升城市网络安全能力的方式 ，是解决安全能力交付“最后一公里”的最佳选择 ，近年来逐步成为国内表网络安全产业发展的沉要方向。
GA黄金甲集团安全运营中心在实际中引入ATT&CK模型 ，不休汇总和输出分歧的安全能力 ，并在落地的过程中深度结合人为智能技术和安全分析技术 ，不休提升安全运营的治理水平 ，通过行业尺度来规范化输出安全运营中心运营剧本、ATT&CK入侵模型和高阶威胁谍报 ，精准定位安全事务 ，提升安全事务响应和措置快率。
京公网安备11010802024551号