8827太阳集团

首页 > 关于8827太阳集团 > 新闻动态 > 深度解读

前沿安全论丨ATT&CK框架在安全运营中的利用

颁布功夫 2021-11-30

威胁谍报是关于IT或信息资产所面对的现有或潜在威胁的循证知识，，，，，，，，蕴含情境、机造、指标、推论与可行建议，，，，，，，，这些知识可为威胁响应提供决策凭据。。。。。。——Gartner在2014年颁发的《安全威胁谍报服务市场指南》（Market Guide for Security Threat Intelligence Service）中提出的界说。。。。。。

凭据David J. Bianco在《The Pyramid of Pain》一文中提出的威胁谍报有关指标的金字塔模型，，，，，，，，能够凭据数据自身将威胁谍报分为HASH值、IP地址、域名、网络或主机特点、TTPs（Tactics、Techniques & Procedures）。。。。。。左侧是可能利用的谍报，，，，，，，，右侧是这些谍报的价值和把握后给入侵者造成的疾苦水平。。。。。。

ATT&CK框架用于威胁谍报的实际.png

威胁谍报中价值最低的是Hash值、IP地址和域名（也就是常说的特点库），，，，，，，，其次是网络/主机特点、入侵工具特点，，，，，，，，对入侵者影响最大的是TTPs（战术、技术和行为模式）类型的威胁谍报。。。。。。而目前安全运营中大量使用的依然是基于HASH（特点库）、IP（护网行动中蓝队的通例的“封IP”行为）、域名、URL为基础凭据的威胁谍报，，，，，，，，这些谍报在应对自动海量无自主见识的病毒较为有效，，，，，，，，而在应对高级可持续威胁入侵方面的比力乏力，，，，，，，，等闲被入侵者绕过。。。。。。而ATT&CK框架的主题正是TTP，，，，，，，，用尺度说话描述敌手入侵行为，，，，，，，，天然的为威胁谍报提供了高阶标签，，，，，，，，在安全运营中，，，，，，，，防御者能够凭据已知入侵者技术和战术来跟踪入侵主体，，，，，，，，预警甚至预判可能的入侵行为和模式。。。。。。

事俘：某经典的鱼叉式垂钓场景的威胁谍报构建

入侵团队利用微软Office宏文件的VBSript构建攻击代码，，，，，，，，而后通过电子邮件进行鱼叉垂钓攻击，，，，，，，，受害者执行代码后，，，，，，，，主机被入侵节造，，，，，，，，并用作跳板机进一步入侵内网。。。。。。高阶威胁谍报的主题是鉴别并标识攻击者的技战法（TTP），，，，，，，，因而选取ATT&CK框架来鉴别和构建入侵的TTP行为链条。。。。。。如下，，，，，，，，分列出入侵者使用的战术、技术以及对应的标签、缓解措施和检测伎俩。。。。。。

1、信息网络：入侵者网络指标有关信息

2、初始接见：入侵者发送鱼叉式邮件诱导执行

3、代码执行：受害主机启用Office宏执行恶意代码

4、悠久化：创建服务过程、增长打算工作

5、防御躲避（假装）：RTLO字符从右往左覆盖假装正常文件名

6、号令与节造：成立荫蔽隧路、搭建内网代理

7、数据渗漏：成立C2隧路节造与数据窃取

8、影响：存储数据操作，，，，，，，，篡改内容

最终形成入侵链条如下，，，，，，，，把稳ATT&CK框架中的战术长短线性的。。。。。。由上例可见，，，，，，，，依照ATT&CK框架模型进行威胁建模，，，，，，，，极大的方便了构建安全运营中高阶威胁谍报知识库，，，，，，，，齐全的梳理出威胁行为的TTP、检测数据源以及防御措施，，，，，，，，简化了溯源的流程和威胁谍报的创建过程，，，，，，，，为安全运营中构建自动防御系统提供了有力的支持。。。。。。

ATT&CK用于安全运营能力成熟评估实际

在现实安全运营中，，，，，，，，好多安全主管都存在难以回覆的量化困境，，，，，，，，例如：当前的安全防御系统有效性若何？？？？？？？？安全投资和建设的优先级若何？？？？？？？？实战演习是否推动了能力的提升？？？？？？？？

同样对于安全运维人员，，，，，，，，也存在难以回覆的问题：

是否可能匹敌当前盛行的APT攻击行为？？？？？？？？海量的告警数据应该若何分析确定法规？？？？？？？？若何验证运维团队的技术工作能力的有效性？？？？？？？？

实际是检验真谛的唯一尺度，，，，，，，，所有安全问题的有效性应该用实际的方式来检验。。。。。。因而ATT&CK框架正是检验防御能力的有效伎俩。。。。。。

（一）入侵者模拟打算

基于ATT&CK的入侵者模拟打算，，，，，，，，能够选取两种方式：

1、实战入侵，，，，，，，，依照ATT&CK的框架尺度，，，，，，，，组织红队打算发展一系列基于威胁的安全测试，，，，，，，，模拟真实入侵者的战术技术和过程，，，，，，，，用实战检验防御系统的真实防御能力。。。。。。

2、沙盘推演，，，，，，，，让企业的红蓝团队选择分歧的角色，，，，，，，，会商红队若何使用分歧步骤来执行攻击行为的，，，，，，，，会商威胁谍报分析人员是若何溯源分析，，，，，，，，安全运营人员是若何匹敌措置的，，，，，，，，将ATT&CK作为通用说话进行沟通和推演。。。。。。

这和通常的渗入测试有什么分歧呢？？？？？？？？

渗入测试重要是单一团队的入侵测试，，，，，，，，而基于ATT&CK的入侵者模拟打算重要在于能够模拟多个APT组织的入侵行为，，，，，，，，而非单一组织的伎俩和大局，，，，，，，，越发全面和有效。。。。。。

并且，，，，，，，，MITRE也创建有入侵者模拟打算，，，，，，，，主张是让红队可能越发正确高效地模拟入侵行为，，，，，，，，从而使得防守方可能越发有效地测试自己的网络防御能力。。。。。。例如基于APT3创建的入侵者模拟规划，，，，，，，，规划中齐全的复现了APT3入侵的所有流程。。。。。。从而使得安全运营方可能越发有效地测试自己的保险系统应对各类APT组织入侵时的防御能力。。。。。。

（二）安全运营能力成熟度评估

ATT&CK框架同样可利用于安全运营中心的防御能力成熟度评估，，，，，，，，评估组织现有的防御系统，，，，，，，，是否可能覆盖到所有已知入侵伎俩，，，，，，，，辅助发现防御能力短板，，，，，，，，推进美满防御系统框架。。。。。。具体来说能够实现如下：

1、评估网络安全防御框架能力，，，，，，，，典型场景是安全能力覆盖度评估，，，，，，，，选取色块标价法，，，，，，，，能够了如指掌安全的差距在哪里，，，，，，，，还必要改进哪些？？？？？？？？

2、当安全能力已经实现了全覆盖，，，，，，，，接下来是必要评估安全能力的成熟度，，，，，，，，将成熟度依照分歧的水平打分。。。。。。例如多款产品均覆盖到了该能力，，，，，，，，批注防御成熟度较高，，，，，，，，可进行深色赋值，，，，，，，，相反则进行淡色赋值，，，，，，，，最终形成可视化水平较高的安全能力成熟度模型。。。。。。

3、主流入侵技术热度评估。。。。。。对于组织来说，，，，，，，，相识入侵者时时使用入侵技术也极度沉要。。。。。。因而能够凭据ATT＆CK知识库中存在的122个APT组织的TTP（战术、技术、过程）创建入侵技术热力争。。。。。。

此时我们能够设想每一个APT组织使用的TTP都是在一块玻璃上涂色，，，，，，，，当所有APT组织实现涂色后，，，，，，，，把这些玻璃叠加起来就形成了8827太阳集团威胁组织数据的热力争，，，，，，，，热力争中的色彩越深，，，，，，，，则暗示入侵组织使用该技术的频率就越高。。。。。。综上，，，，，，，，将ATT&CK框架利用于安全运营中心，，，，，，，，可能真实反映安全运营中心在面对APT组织威胁时的安全防御能力，，，，，，，，同时能够验证安全运营中心在检测、分析和响应方面的能力成熟度，，，，，，，，并借助于威胁谍报、溯源反造构建安全运营中心的自动防御系统。。。。。。

2017年，，，，，，，，8827太阳集团集团便在行业率先开创性地提出“独立第三方安全运营”概想，，，，，，，，为城市当局机构、企业及智慧城市建设，，，，，，，，提供托管式、表包式的7x24幼时专业安全运营服务，，，，，，，，为城市打造专职的网络空间安全应急响应中心，，，，，，，，提高针对当局机构、企业及网络空间风险事务的发现与响应能力、加强对潜在入侵的监测和调查能力,由区域性第三方安全运营中心为城市提供专业的托管式安全服务，，，，，，，，是有效提升城市网络安全能力的方式，，，，，，，，是解决安全能力交付“最后一公里”的最佳选择，，，，，，，，近年来逐步成为国内表网络安全产业发展的沉要方向。。。。。。

8827太阳集团集团安全运营中心在实际中引入ATT&CK模型，，，，，，，，不休汇总和输出分歧的安全能力，，，，，，，，并在落地的过程中深度结合人为智能技术和安全分析技术，，，，，，，，不休提升安全运营的治理水平，，，，，，，，通过行业尺度来规范化输出安全运营中心运营剧本、ATT&CK入侵模型和高阶威胁谍报，，，，，，，，精准定位安全事务，，，，，，，，提升安全事务响应和措置速度。。。。。。

上一篇下一篇

7*24幼时服务热线

400-624-3900

+86(10)56631988(港澳专线)

官方微信

官方微博

网御星云合多数据书生电子云子可信

司法申明

Copyright ? 8827太阳集团版权所有京ICP备05032414号京公网安备11010802024551号

【网站地图】【sitemap】