MITRE ATT&CK

Açılış

Kaan'ın gece vardiyasında güvenlik izleme ekranına bir uyarı düştü. Uyarının başlığı kısaydı: bir muhasebe çalışanının bilgisayarında, e-postayla gelen bir belge açıldıktan hemen sonra yeni bir süreç başlamıştı. Uyarının altında iki etiket vardı: biri "Initial Access", öteki bir harf ve rakamlardan oluşan bir kod.

Kaan uyarıyı gördü, bilgisayarı ağdan ayırma talimatını izledi ve olayı kayda geçirdi. Ama etiketleri anlamamıştı. Sabah Gülay Hanım'a sordu.

Gülay Hanım ekranı açtı. "Bu etiketler bir dil," dedi. "Uyarıyı yazan yazılım, olanı dünyanın her yerindeki savunmacıların kullandığı ortak bir sözlükle adlandırıyor. İlki saldırganın ne yapmaya çalıştığını söylüyor: içeri girmek. İkincisi nasıl yaptığını: e-postayla gelen ekli bir oltalama mesajıyla."

Kaan kodun neden önemli olduğunu sordu. Gülay Hanım tarayıcıda bir sayfa açtı. Sayfada bu tekniğin tanımı, onu kullandığı bilinen gruplar, ona karşı önerilen önlemler ve onu tespit etmenin yolları vardı. "Bir uyarıyı bu dile çevirdiğin anda," dedi, "yalnız olanı değil, sonra ne olabileceğini ve neyi yapman gerektiğini de bulursun."

Tek fikir

MITRE ATT&CK, gerçek saldırılarda gözlenmiş davranışları amaç, yöntem ve uygulama düzeyinde sınıflandıran, herkese açık bir bilgi tabanıdır. Savunmacıya ortak bir dil verir: bir olayı adlandırmak, ona karşı önlemleri ve tespit yollarını bulmak ve kendi savunmasındaki boşlukları görmek için.

Nasıl çalışır

Önceki derste saldırıyı yedi büyük aşamada gördük. ATT&CK aynı fikri çok daha ayrıntılı bir haritaya dönüştürür: her aşamanın içinde saldırganların gerçekte ne yaptığını tek tek adlandırır.

Çerçeveyi kuran ekip, onun ne olduğunu ve ne olmadığını ayrı bir belgede anlatır.

Belgenin üç kavramı, çerçeveyi okumanın anahtarıdır.

Çerçeve, bir matris olarak okunur. ATT&CK sitesinin kurumsal ağlar için hazırladığı matriste bugün on beş taktik vardır; keşif ve kaynak hazırlığıyla başlar, ilk erişim, çalıştırma, kalıcılık, yetki yükseltme, gizlenme, savunma araçlarını bozma, kimlik bilgisi erişimi, ortamı tanıma, yanal hareket, toplama, komuta ve kontrol ve veri çıkarma üzerinden geçer ve etkiyle biter. Her sütunun altında o amaca hizmet eden teknikler sıralanır. Önceki dersin yedi halkası bu sütunların bir özetidir; ATT&CK her halkayı onlarca davranışa açar.

Savunmacı için çerçevenin en değerli kısmı, teknik sayfalarının alt bölümleridir.

Kaan'ın uyarısındaki davranış, bu tespit stratejisinin tarif ettiği şeyin kendisiydi: e-postayla gelen bir belge açılmış ve ardından yeni bir süreç başlamıştı.

ATT&CK'ı okumanın bir de sınırı vardır. Strom ve arkadaşlarının yazdığı gibi, çerçeve gözlenmiş davranışların bir derlemesidir, her olası saldırının eksiksiz listesi değildir. Bir tekniğin ATT&CK'ta yer almaması, onun var olmadığı anlamına gelmez; yalnız henüz gözlenip derlenmediği anlamına gelebilir.

Sahada

Savunma

ATT&CK'ın savunmaya katkısı, savunmacıların aynı şeyi aynı adla konuşmasını ve bir olaydan önlemlere hızla geçmesini sağlamasıdır.

Önce olayları ATT&CK diliyle adlandır. "Şüpheli bir şey oldu" yerine taktiği ve tekniği yazmak, olay notunu başka bir savunmacının, bir tedarikçinin ya da bir yıl sonraki kendinin anlayabileceği bir belgeye dönüştürür.

Sonra teknik sayfasından önlemlere geç. Her tekniğin sayfasındaki önlem listesi, bir kontrol listesi gibi kullanılabilir: hangileri bizde var, hangileri eksik? Kaan'ın eksik ek türü kısıtlaması bu yolla bulundu.

Sonra tespit yollarını oku. Teknik sayfalarındaki tespit stratejileri, hangi kayıtların toplanması ve hangi davranışların izlenmesi gerektiğini söyler. Bir tekniğe karşı önlemin yanında tespit de yoksa, o teknik sessizce başarılı olabilir.

Kapsam iddialarına dikkat et. Bir ürünün ya da bir ekibin "ATT&CK'ı şu oranda kapsadığı" iddiası, hangi tekniklerin, hangi veri kaynaklarıyla ve hangi kesinlikle kapsandığı sorulmadan bir anlam taşımaz. Bora'nın sorusu bunu gösterdi.

Ve çerçevenin sınırını hatırla. ATT&CK gözlenmiş davranışların derlemesidir; bütün tekniklerin işaretlenmiş olması, bütün saldırıların durdurulabileceği anlamına gelmez.

Tespit tarafında ATT&CK, izleme kurallarını düzenlemenin bir yoludur: her kural bir tekniğe bağlanır ve hangi tekniklerin hiç izlenmediği görünür olur. Bu modülün atölyesi tam olarak bu haritayı çıkaracak.

Uygulama

ATT&CK'ı okumayı, bildiğin bir tehdit üzerinden öğreneceksin.

Bitirdiğinde, iki tekniğin önlem listesinden sende eksik olan maddeleri bir yere topla. Bu, kendi küçük savunma boşluğu haritanın ilk satırlarıdır.

Defter: Taktiklerin kendi cümlelerinle tanımları, oltalama sayfasından dört not, iki tekniğin önlemleri ve kendi hesaplarındaki karşılıkları, önceki dersteki mesajın ATT&CK adlandırması, eksik önlemler listesi.

Hata köşesi

Etik ve sınırlar

ATT&CK herkese açıktır ve savunma amacıyla okunması için yayımlanmıştır; ama teknik sayfalarındaki prosedür örnekleri gerçek saldırılardan alınmıştır ve onları başkasının sistemlerinde denemek, sahibinin yazılı izni ve belirlenmiş bir kapsam olmadan suçtur. ATT&CK'a dayanan saldırı benzetimleri, ancak yetkili bir ekip tarafından, kurumun onayıyla ve gerçek kullanıcılardan ayrılmış bir deneme düzeninde ya da sınırları önceden çizilmiş bir çalışmada yapılır. Olay notlarında ATT&CK adlandırması kullanılırken, olaydan etkilenen kişilerin adları ve kişisel verileri teknik bilgiden ayrı tutulur; bir teknik adını paylaşmak için bir çalışanın kimliğini paylaşmaya gerek yoktur. Bir tedarikçinin kapsam iddiasını sorgulamak meşru bir müşteri hakkıdır; ama bir ürünü sınamak için onun sistemlerine izinsiz saldırmak bu hakkın parçası değildir.

Kapanış

1. MITRE ATT&CK, gerçek saldırılarda gözlenmiş saldırgan davranışlarının açık bir bilgi tabanıdır; taktik "neden", teknik "nasıl", prosedür "tam olarak nasıl" sorusunun cevabıdır.
2. Her teknik sayfası tanımın yanında önlemleri ve tespit yollarını verir; savunmacı bir olayı bu dille adlandırıp doğrudan eksik önlemlere geçebilir.
3. ATT&CK gözlenmiş davranışların derlemesidir, eksiksiz bir liste değildir; kapsam iddiaları hangi teknik ve hangi veri kaynağı sorulmadan anlam taşımaz.

Üç soru

1. Kaan'ın uyarısındaki iki etiket neyi anlatıyordu ve neden işe yaradı?
2. Selin ATT&CK sayfasından hangi eksikliği buldu ve nasıl kapattı?
3. Bora firmanın kapsam iddiasına neden bir yüzdeyle yetinmedi?

Yanıtlar

1. Birincisi taktikti: saldırganın içeri girmeye çalıştığını söylüyordu. İkincisi teknikti: bunun e-postayla gelen ekli bir oltalama mesajıyla yapıldığını söylüyordu. Bu dile çevrilince teknik sayfasından önlemler ve tespit yolları bulunabildi; Kaan eksik bir önlem, makro içeren belge türlerinin gereksiz birimlere açık olmasını, bu yolla tespit etti.
2. Şirketin e-posta kimlik doğrulama politikası yalnız izleme modundaydı; sahte iletiler reddedilmiyor, yalnız raporlanıyordu. Selin raporları inceleyip meşru kaynakların doğru tanımlandığından emin olduktan sonra politikayı reddetme moduna geçirdi ve şirket adına gönderilen sahte iletiler müşterilere ulaşmaz oldu.
3. Bir tekniğin kapsanması, onu izleyecek veri kaynaklarının gerçekten var olmasına bağlıdır. Firmanın kapsamı, hastanede henüz kurulu olmayan kayıt kaynaklarına dayanıyordu. ATT&CK'ın kendisi de eksiksiz bir liste olmadığını söyler; yüzde, hangi tekniklerin hangi kaynaklarla izlendiği bilinmeden bir şey anlatmaz.

Sonraki derse köprü

Matrisin ilk sütunlarından biri, ilk erişimdi: saldırganın içeri girdiği an. İlk erişim dersi bu sütundaki en sık giriş yollarına, yani oltalamaya, açık bırakılmış servislere ve çalınmış kimlik bilgilerine bakıyor ve her birinin nasıl kapatılacağını anlatıyor.