前沿安全論丨ATT&CK框架下,看攻擊趨勢的變化

前沿安全論丨ATT&CK框架下,看攻擊趨勢的變化

Sayings

以攻看防,構建縱深防禦體系

前沿安全論丨ATT&CK框架下,看攻擊趨勢的變化

企業在構建縱深防禦體系之前,一個是可以看看

ATT&CK攻擊框

,從通用的攻擊戰術、技術、過程,透過透視攻擊路徑和方式方法,佈局檢測、防禦的策略。另一方面,可以從目前的政策要求、標準來

搭建體系化的防禦體系

運用 MITRE ATT&CK 中的攻擊者行為通用分類,可以幫助

網路事件響應團隊 (CIRT)、安全運營中心 (SOC)、紅藍隊、威脅獵手、IT 部門等安全團隊

,更好地測試、開發和排序其檢測和響應機制,對公司的業務、行業和智慧財產權提供高效安全保障。

在欄目的第一篇文章,我們展現了目前最新的攻擊框架,盤點了ATT&CK框架之於攻防的視角、之於實戰演練的視角、以及日常之於防守的使用,將對應的內容彙總,給到您做參考。

ATT&CK是

MITRE提供的“對抗戰術、技術和常識”框架

,是由攻擊者在網路攻擊是常用的12種戰術及200多種企業技術組成。MITRE ATT&CK 常用於去衡量組織識別、檢測和防止網路入侵的能力的有效性的價值。近年來MITRE ATT&CK 框架的採納率持續上升,是因為該框架理順了

攻擊者滲透網路、入侵主機、提升許可權、隱秘移動和滲漏資料的攻擊鏈

在威脅情報、檢測與分析、模擬紅藍對抗,以及評估與工程等主要場景中,隨著攻防演練推進,ATT&CK的框架在不斷完善,紅隊的攻擊手法、部分應用逐年提升,ATT&CK的使用範圍也在擴大。目前來看,

ATT&CK框架特點雲安全攻擊、移動裝置和工控系統的攻擊正逐漸豐富著該圖譜

前沿安全論丨ATT&CK框架下,看攻擊趨勢的變化

圖注:ATT&CK攻擊框架

(https://attack。mitre。org/versions/v9/#)

攻防的戰術手冊

ATT&CK之所以有效,是因為

攻防的戰術手冊

對於攻擊一方,ATT&CK的高頻技術經常被使用在對抗模擬、紅隊/滲透測試活動、制定行為分析方案中,為滲透測試工作人員提供技術參考以模擬APT攻擊。而在真實的網路攻擊中,很多攻擊團伙都用相同的技術,ATT&CK就像攻擊團伙自己的戰術手冊,還用此戰術手冊讓新成員快速上手。

所有戰術、技術和流程(TTP)都基於現實世界中觀察到的真實攻擊團伙所為。

刊登的一篇名為

《網路安全技術與應用》

由描述一個基於ATT&CK框架的紅藍對抗實戰過程。我們可以清楚的看到,紅隊攻擊思路的過程。

紅隊技術指導:ATT&CK 框架包含了 266 種攻擊技術描述,模擬紅隊可以借鑑其中部分技術進行特定戰術目的的專項測試或綜合場景測試。在開展內網資訊收集專項測試時,可以透過參考並復現 “發現”、“收集”戰術目的下的攻擊技術,對內網暴露的攻擊面逐一測試;在開展模擬場景演練時,可以挑選不同的戰術目的制定模擬攻擊流程,從矩陣中選擇相關技術實施。以典型的紅隊釣魚攻擊場景為例,紅隊高頻攻擊技術:

“基於ATT&CK框架的實戰分析”

基於 ATT&CK 框架,ATT&CK 實戰攻擊鏈主要包含以下七個步驟:

釣魚攻擊 ->執行 payload 命令 -> 本地 持久化 -> 獲取命令&控制通道 -> 許可權提升 -> 橫向滲透 -> 拿下域控許可權。

第一步是要確定要檢測的對抗行為目標和優先順序,優先檢測攻擊者最常使用的 TTP,並解決最常見的、最常遇到的威脅技術,這會對組織機構的安全態勢產生最廣泛的影響。擁有強大的威脅情報能力後,組織機構就可以瞭解需要關注哪些 ATT&CK 戰術和技術。

1、確認目標

攻擊者可以使用技術將未知的 RAT 載入到合法的程序(例如 explorer。exe)中,然後使用 cmd。exe 命令列介面透過遠端 Shell 與 系統進行互動。攻擊者可能會在很短的時間內採取一系列行動,並且幾乎不會在任何部件中留下痕跡讓網路防禦者發現。

2、收集資料

行為分析——旨在檢測某種特定對抗行為,例如建立新的 Windows 服務。情景感知——旨在全面瞭解在給定時間,網路環境中正在發生什麼事情。異常值分析——旨在分析檢測到非惡意行為, 這類行為表現異常,包括檢測之前從未執行過的可執行檔案,或者標識網路上通常沒有執行過的程序。

3、過程分析

MITRE 的對抗模擬方法不同於這些傳統方法,其目標是讓紅隊成員執行基於特定或許多已知攻擊者的行為和技術,以測試特定系統或網路的防禦效果。

4、構建場景

在制定好對抗模擬方案和分析方案之後,就該使用情景來模擬攻擊者了。首先,讓紅隊模擬威脅行為並執行由白隊確定的技術。

5、模擬威脅

一旦在給定的網路競賽中紅隊發起了攻擊,藍隊要儘可能發現紅隊的所作所為。

6、調查攻擊

藍隊和紅隊活動均完成後,白隊將協助團隊成員進行分析,將紅隊活動與藍隊報告的活動進行比較。這可以進行全面的比較,藍 隊可以從中瞭解他們在發現紅隊行動方面取得了多大程度上的成功。

根據以上探討,總結出基於ATT&CK框架的“紅藍對抗”滲透攻擊鏈:確定目標-收集資料-過程分析-構建場景-模擬威脅-調查攻擊-評估表現。其中構建場景是其中的關鍵攻擊鏈:

7、評估表現

ATT&CK:初始訪問戰術->命令與控制戰術->執行戰術->發現戰術->持久化戰術->橫向移動戰術->滲透戰術。

關於基於ATT&CK的防守,也有很多文章做過分析。

藍方可以利用框架中的技術提前對系統網站做審計工作。防守一方,需要加強對這些APT常用的攻擊技術的

有攻有防

的安全風險,從而保護資產免受損失。ATT&CK對於防守方的參考價值越來越大。

按照目前業內的使用情況,ATT&CK框架基本給“藍方”做好了一個攻擊框架的搭建。從“以攻看防”的角度看,打造一個能

有攻有防

,離不開對攻擊框架的梳理。

主動防禦,最佳化檢測,阻斷策略,降低APT攻擊

早前在一篇文章

《MITRE ATT&CK 框架“入坑”指南》

中提到,關於如何實現MITRE ATT&CK?安全牛從“威脅建模、檢測技術、確認攻擊難度、查閱資料來源、整合資料、瞭解不同工具的功能與侷限”。

入侵檢測能力的度量是個行業難題,核心原因是缺乏一個明確的、可衡量、可落地的標準,所以,防守方對於入侵檢測通常會陷入不可知和不確定的狀態中,既說不清自己的能力高低,也無法有效彌補自己的短板。MITRE ATT&CK的出現解決了這個行業難題。它給了我們一把尺子,讓我們可以用

快速檢測、響應和減緩漏洞安全風險的新一代高效能安全防禦體系

安全行業媒體“安全牛”

瞭解ATT&CK,學習先進的理論體系,提升防守方的技術水平,加強攻防對抗能力。

此前,微訊號

統一的標準去衡量自己的防禦和檢測能力

曾整理了一份

ATT&CK實戰指南

,介紹到藍隊在實戰指南中如何做好威脅檢測和追蹤。媒體

一文看懂ATT&CK框架以及使用場景例項

一文中也介紹到ATT&CK框架中的12種戰術的中心思想以及如何緩解和檢測戰術中的某些技術進行一些解讀。

實際上,除了我們去了解ATT&CK的理念和戰術在實際攻防或演練中的御防和分析。在

《安全噴子》

《安全客》

上,ATT&CK也是繞不開的框架。山石網科今年年初發布了一篇

一招阻擊惡意軟體攻擊:沙箱整合MITRE ATT&CK攻擊框架

中提到沙箱產品整合MITRE ATT&CK框架,讓惡意軟體在受限的虛擬環境下執行。理想情況下,沙箱可以捕獲到惡意軟體在整個攻擊生命週期中的各種攻擊技術。

ATT&CK改變了我們對IP地址和域名等低階指標的認知,並讓我們從行為的視角來看待攻擊者和防禦措施。與過去“一勞永逸”的工具相比,檢測和預防行為之路要困難得多。此外,隨著防禦者帶來新的功能,攻擊者肯定會作出相應調整。ATT&CK提供了一種方法來描述他們開發的新技術,並希望防禦者能夠緊隨技術發展的新步伐。

實際佈局安全產品

駭客攻擊方式的四種最新趨勢(

http://www。qishunwang。net/news_show_81729。asp

x

2021年勒索軟體演變新趨勢(

https://www。sohu。com/a/474129940_121124359

構建縱深防禦的安全體系

山石巖讀丨雲計算安全到底說的是什麼安全?一看就會

山石巖讀丨零信任:你見過我在工控領域的樣子嗎?

山石巖讀丨一文看懂雲計算安全和安全模型的技術趨勢

山石巖讀丨一個不懂資訊保安的專案經理有多可怕?

山石巖讀丨一文讀懂區塊鏈安全:區塊鏈黃金髮展期是否已到來?

相關閱讀推薦:

山石網科是中國網路安全行業的技術創新領導廠商,自成立以來一直專注於網路安全領域前沿技術的創新,提供包括邊界安全、雲安全、資料安全、內網安全在內的網路安全產品及服務,致力於為使用者提供全方位、更智慧、零打擾的網路安全解決方案。

山石網科為金融、政府、運營商、網際網路、教育、醫療衛生等行業累計超過20,000家使用者提供高效、穩定的安全防護。山石網科在蘇州、北京和美國矽谷均設有研發中心,業務已經覆蓋了中國、美洲、歐洲、東南亞、中東等50多個國家和地區。

(文章配圖源自網路)

頂部