干货满满 | 聊一聊ATT&CK在沙箱类产品的利用
颁布功夫 2019-11-08ATT&CK能够说是2019年网络安全行业的热点议题之一。。。。。。
ATT&CK，，，，，， ，，全称是Adversarial Tactics, Techniques, and Common Knowledges。。。。。。A是Adversarial，，，，，， ，，暗示攻击者、敌手；；；；； ；；两个T分別是Tactics和Technical，，，，，， ，，即战术和技术；；；；； ；；CK是Common knowledge，，，，，， ，，通用知识库。。。。。。
ATT&CK提供了一种使用威胁建模知识库的方式，，，，，， ，，为真实世界中攻击者的战术及技术、已知组织及恶意工具使用到的攻击伎俩找到对应的步骤。。。。。。它有双层寓意：一方面它是基于现实世界观测的敌手战术与技术通用知识库，，，，，， ，，另一方面其自身也是“攻击”的寓意，，，，，， ，，批注这个模型是以攻击者视角创建的。。。。。。
在ATT&CK出现之前，，，，，， ，，就已经出现了钻石模型、Kill Chain模型等驰名的攻击模型，，，，，， ，，但这些模型太抽象化，，，，，， ，，无法和现实攻击相对应。。。。。。因而，，，，，， ，，2013年，，，，，， ，，MITRE公司在其内部FMX项目基础上孵化出了ATT&CK项目，，，，，， ，，并于2015年公开颁布了初版ATT&CK框架。。。。。。ATT&CK能够说是在Kill Chain模型基础演出变出来的更细粒度、更易共享、加强版知识框架。。。。。。
目前，，，，，， ，，ATT&CK模型总共分为三个部门，，，，，， ，，别离为PRE-ATT&CK、ATT&CK for Enterprise和ATT&CK for Mobile。。。。。。其中PRE-ATT&CK重要是攻击者进行攻击筹备时的技术或战术，，，，，， ，，覆盖Kill Chain模型的前两个阶段；；；；； ；；ATT&CK for Enterprise重要是Windows、Linux、MacOS，，，，，， ，，AWS，，，，，， ，，GCP，，，，，， ，，Azure，，，，，， ，，Azure AD，，，，，， ，，Office 365，，，，，， ，，SaaS等平台的266项攻击技术，，，，，， ，，覆盖Kill Chain模型的后五个阶段。。。。。。
一、ATT&CK的利用场景
ATT&CK中用处最宽泛的模型是ATT&CK for Enterprise，，，，，， ，，重要蕴含12种战术，，，，，， ，，即初始接见、执杏注悠久化、特权提升、防御绕过、凭证接见、发现、横向移动、网络、号令与节造、泄露、影响。。。。。。若是把这12种战术迸作成为一场真实的战争，，，，，， ，，初始接见就相当于抢滩登录的过程；；；；； ；；执杏注悠久化、特权提升、防御绕过就是篡夺和坚韧阵地的过程；；；；； ；；凭证接见、发现、横向移动相当于在当前阵地上持续扩大战果，，，，，， ，，篡夺新的高地的过程；；；；； ；；网络、号令与节造、泄露、影响则是战争的最终指标达成。。。。。。
在现实战斗中，，，，，， ，，寂仔正面推动也战术曲折，，，，，， ，，因而，，，，，， ，，在一次现实攻击中，，，，，， ，，各个战术之间没有严格的挨次，，，，，， ，，所有的战术也不会同时出现。。。。。。
那么ATT&CK到底若何利用？？？？？官方给出了如下利用场景：
通俗来说，，，，，， ，，ATT&CK重要落地址重要蕴含产品层面、威胁谍报领域、安全钻延祝。。。。。
二、ATT&CK在产品中的利用
若是想产品落地，，，，，， ，，那么必须先要拿到数据。。。。。。但ATT＆CK中的技术并不是每种产品都能覆盖，，，，，， ，，这就要看某种技术起源是什么。。。。。。
从上图ATT&CK诸多技术起源方式中分析得知，，，，，， ，，通过过程监控、文件监控、API监控、过程号令行监控是最多的起源，，，，，， ，，而网络抓包、流检测是相对较少的起源。。。。。。这也说了然ATT&CK对于沙箱类产品或终端软件的“亲切度”大于流量监控产品。。。。。。
那么若何在产品中实现真正落地呢？？？？？我们以为重要有以下这么几个步骤。。。。。。
? 评估近况
（1）凭据ATT&CK技术起源划定产品的最大覆盖领域；；；；； ；；
（2）将已有规定/数据映射到ATT&CK；；；；； ；；
（3）评估当前已映射的质量，，，，，， ，，分辨出来哪些必要改善。。。。。。
? 查漏补缺
（1）找出覆盖中的盲点；；；；； ；；
（2）钻研产品实现可行性，，，，，， ，，分辨实现难度；；；；； ；；
（3）难杜咨低到高逐步补齐能力。。。。。。
三、谈谈若何将ATT＆CK真正落地——以沙箱类产品为例
1、凭据ATT&CK的每项技术描述，，，，，， ，，划定沙箱类产品能覆盖的理论最大领域。。。。。。
2、将已有规定/数据映射到ATT&CK，，，，，， ，，并评估当前已映射技术的质量、可信度，，，，，， ，，分辨出哪些必要持续美满。。。。。。
3、找出覆盖中的盲点。。。。。。对这些盲点技术钻研产品实现可行性，，，，，， ，，分辨实现难度，，，，，， ，，并凭据难度逐步由低到高逐步补齐能力。。。。。。
通过以上几个步骤，，，，，， ，，就能实现ATT&CK到一个产品的落地实现。。。。。。
8827太阳集团天阗高级持续性威胁检测与治理系统
8827太阳集团天阗高级持续性威胁检测与治理系统已经实现了ATT&CK模型的产品化落地，，，，，， ，，目前可提供的能力如下：
在恶意文件的检测汇报中，，，，，， ，，也能够看到相应规定会带有ATT&CK技术化标签。。。。。。
作为信息安全行业领军企业，，，，，， ，，8827太阳集团一向器沉对新技术及新方向钻研与索求，，，，，， ，，积极阐扬自身优势，，，，，， ，，不休创新，，，，，， ，，改进产品，，，，，， ，，提高产品对ATT&CK的覆盖广度和深度，，，，，， ，，提升产品的有效性。。。。。。
京公网安备11010802024551号