ZEKASTRA

Laboratuvar

ATT&CK haritası: teknikler ve tespit kapsamı

MITRE ATT&CK Enterprise matrisini inceleyin; her tekniğin kayıtlarda nasıl göründüğünü ve neyin durdurduğunu görün, tespit kapsamınızı işaretleyip Navigator katmanı olarak dışa aktarın, saldırı zincirlerini adım adım izleyin.

Düzey: Her düzeyBeceriler: Tehdit modelleme, tespit mühendisliği

Yerelde çalışırUydurma veri. İlerleme yalnızca bu tarayıcıda tutulur.

Enterprise matrisi

MITRE ATT&CK Enterprise v2015 taktik101 teknik5 saldırı zinciriZincirler ve örnek profil: Benzetim

Her sütun bir taktiktir: saldırganın o aşamadaki amacı. Her hücre bir tekniktir: o amaca ulaşmanın bir yolu. Saldırganın ne elde ettiğini, kayıtlarınızda nasıl göründüğünü ve hangi ATT&CK önlemlerinin uygulandığını görmek için bir hücre seçin. Birden çok amaca hizmet eden teknik, ATT&CK'te olduğu gibi ait olduğu her sütunda yer alır.

Ön keşifTA0043 · 4

Saldırgan, sistemlerinize dokunmadan önce sizin hakkınızda bilgi toplar.

Kaynak geliştirmeTA0042 · 4

Saldırgan, operasyon için alan adı, hesap ve araç hazırlar.

İlk erişimTA0001 · 9

Saldırgan, ağınızda ya da bulut kiracınızda ilk tutunma noktasını elde eder.

ÇalıştırmaTA0002 · 9

Saldırgan, bir sistemde kendi kodunu ya da komutlarını çalıştırır.

KalıcılıkTA0003 · 12

Saldırgan, yeniden başlatma, parola değişikliği ve temizliğe rağmen erişimini korur.

Yetki yükseltmeTA0004 · 12

Saldırgan, yerel yönetici ya da etki alanı yöneticisi gibi daha yüksek yetki kazanır.

GizlenmeTA0005 · 10

Saldırgan, yaptıklarını olağan davranış gibi göstererek gizler.

Savunmayı zayıflatmaTA0112 · 8

Saldırgan, güvenlik araçlarını ve kayıt tutmayı bozar; savunma ekibi olanı göremez ya da gördüğüne güvenemez.

Kimlik bilgisi erişimiTA0006 · 14

Saldırgan, hesap adlarını, parolaları, hash'leri, biletleri ve belirteçleri çalar.

İç keşifTA0007 · 5

Saldırgan, içeriden hesaplarınızı, makinelerinizi, hizmetlerinizi ve güven yollarınızı öğrenir.

Yanal hareketTA0008 · 9

Saldırgan, ilk makineden daha değerli makinelere geçer.

Veri toplamaTA0009 · 7

Saldırgan, asıl hedefi olan veriyi toplar: e-posta, dosya, veritabanı, bulut depolama.

Komuta ve kontrolTA0011 · 7

Saldırgan, ele geçirdiği sistemleri yönetmek için onlarla, genellikle olağan trafik kılığında haberleşir.

Veri sızdırmaTA0010 · 6

Saldırgan, topladığı veriyi ortamınızın dışına çıkarır.

EtkiTA0040 · 6

Saldırgan, sistemleri ve veriyi bozar, siler, şifreler ya da değiştirir; para çalar.

Bu harita nasıl kullanılır

1. Dili öğrenin

ATT&CK, saldırganların yaptıklarını ortak bir sözlükle adlandırır. Bir alarm, rapor ya da üretici T1003.001 dediğinde herkes aynı şeyi anlar: kimlik bilgisi için LSASS belleğini okumak.

2. Neyi görebildiğinizi işaretleyin

Hücreleri, kayıt ve EDR'yi işleten kişilerle birlikte gözden geçirin. Her teknik için sorun: “Kayıtlarda nasıl görünür” bölümündeki veriyi topluyor muyuz, ona bir kural ya da analist bakıyor mu? Kısmen, verinin var olduğu ama kimsenin izlemediği ya da yalnızca bazı makinelerin gönderdiği anlamına gelir.

3. Önemli açıkları kapatın

Açık listesi, gerçekçi saldırı zincirlerinin geçtiği teknikleri öne alır. Kapsamınızın bir saldırıyı ilk nerede fark edeceğini görmek için zincirleri adım adım izleyin; birden çok zinciri kıran kontrole yatırım yapın.

4. Yanınızda götürün

İşaretlerinizi saklamak için JSON, MITRE'nin Navigator aracında açıp ekibinizle paylaşmak için ATT&CK Navigator katmanı olarak dışa aktarın. Dışa aktarana kadar her şey bu tarayıcıda kalır.

Teknik adları ve kimlikleri MITRE ATT&CK Enterprise v20 sürümünü izler. ATT&CK®, The MITRE Corporation'ın tescilli markasıdır; bu laboratuvar bağımsız bir eğitim aracıdır. attack.mitre.org · ATT&CK Navigator

Her laboratuvar uydurma veri kullanır ve yalnızca savunma işini canlandırır. Sahibi olmadığınız ya da yazılı izin almadığınız sistemleri denemeyin: bilişim sistemine hukuka aykırı erişim suçtur (TCK m. 243).