¿Qué es el marco de trabajo MITRE ATT&CK?
ATT&CK detalla el comportamiento y la taxonomía de las acciones del adversario en los ciclos de vida de la amenaza, lo que mejora la inteligencia sobre las amenazas y las operaciones o la arquitectura de seguridad.
El marco de trabajo MITRE ATT&CK tiene dos partes: ATT&CK for Enterprise, que es una base de conocimientos detallada que abarca el comportamiento contra las redes de TI y la nube empresariales, y ATT&CK for Mobile, que se centra en el comportamiento contra los dispositivos móviles.
La pirámide del dolor es una representación de los tipos de indicadores de compromiso. Mide la posible utilidad de la inteligencia de amenazas y se centra en la respuesta a incidentes y la detección de amenazas.
Trivial: valores de hash
Los valores de hash se generan a través de algoritmos como el MD5 o el SHA y representan un archivo malicioso específico. Los hashes proporcionan referencias específicas a malware y archivos sospechosos que utilizan los atacantes para la intrusión.
Fácil: direcciones IP
Las direcciones IP son uno de los indicadores más fundamentales de la fuente de un ataque malicioso. Sin embargo, es posible adoptar una dirección IP mediante un servicio de proxy y cambiarla con frecuencia.
Simple: nombres de dominio
Puede haber un nombre de dominio o incluso un tipo de subdominio registrado, pagado y alojado. Sin embargo, hay muchos proveedores de servicios DNS que han relajado los estándares de registro.
Molesto: artefactos de red/host
Los artefactos de red son elementos de actividad que pueden identificar a un usuario malicioso y distinguirlo de un usuario legítimo. Puede tratarse de un patrón URI o de información C2 que se integra en los protocolos de red.
Los artefactos de host son elementos observables provocados por actividades adversas en un host que identifica actividades maliciosas y las distingue de actividades legítimas. Estos identificadores incluyen claves de registro o valores que se sabe que son creados por malware, o archivos/directorios que se dejan en ciertas áreas.
Desafiante: herramientas
Por lo general, las herramientas son tipos de software que los atacantes utilizan en nuestra contra. También puede tratarse de una serie de herramientas que ellos incorporan para interactuar con el código o el software existente. Entre estas herramientas se incluyen utilidades que crean documentos maliciosos para el spear phishing, puertas traseras que establecen C2, programas de descifrado de contraseña u otras utilidades que puedan comprometer nuestra seguridad.
Difícil: TTP
Las tácticas, las técnicas y los procedimientos están en la parte superior de la pirámide. Este es el proceso completo de cómo un atacante cumple su misión, desde la fase de investigación inicial hasta la exfiltración de los datos, con todas las fases que hay entre ellas.
Inteligencia de amenazas
Se informa a las defensas en función de las posibles amenazas. Las técnicas también se priorizan en función de los rasgos comunes entre los grupos y el análisis de lagunas de las defensas actuales en comparación con las amenazas comunes.
Detección y análisis
Formación de equipos morados, fuentes de datos, pruebas, análisis personalizados y análisis fuera de banda (OOB).
Emulación del adversario
Comunicaciones al equipo azul, variación en los comportamientos del equipo rojo, emulación de adversarios basada en inteligencia de amenazas cibernéticas y pruebas de técnicas atómicas.
Evaluaciones e ingeniería
Evaluar las brechas de cobertura en función del uso real y priorizar la capacidad de mitigación y las inversiones, como la técnica única, mitigaciones y fidelidad a través de varias técnicas.
Primeros pasos con Security Incident Response
MITRE ATT&CK capacita a las empresas con los módulos Threat Intelligence y Security Incident Response para que puedan mejorar su respuesta ante incidentes y proteger activos valiosos.