?Qu¨¦ es el MITRE ATT&CK Framework?
2024 Evaluaciones de MITRE ATT&CK:?Trend Vision One torna incapaz de ocultar a los atacantes
MITRE ATT&CK Framework
MITRE ATT&CK es la sigla en ingl¨¦s de Adversarial Tactics, Techniques, and Common Knowledge, es una base de conocimiento p¨²blico de t¨¢cticas y t¨¦cnicas adversarias que se pueden utilizar como base para el desarrollo de metodolog¨ªas y modelos espec¨ªficos de ciberamenazas.?
Esta base de conocimientos se ha desarrollado bas¨¢ndose en los tres conceptos siguientes:?
- Mantiene la perspectiva del adversario?
- Sigue el uso de la actividad en el mundo real mediante ejemplos de uso emp¨ªrico?
- El nivel de abstracci¨®n es adecuado para unir la acci¨®n ofensiva con la posible actitud defensiva?
MITRE ATT&CK ayuda al sector a definir y estandarizar c¨®mo describir el enfoque de un atacante. Recopila y categoriza t¨¢cticas, t¨¦cnicas y procedimientos de ataque comunes (TTP) y, a continuaci¨®n, organiza esta informaci¨®n en un marco.?
El tercer concepto, que requiere un nivel de abstracci¨®n adecuado para unir el m¨¦todo de ataque con las contramedidas que se pueden implementar en el lado de la defensa, es especialmente importante cuando comprende la estructura de ATT&CK. La informaci¨®n se organiza como informaci¨®n con un alto grado de abstracci¨®n, no como informaci¨®n individual/espec¨ªfica como direcciones IP, URL e informaci¨®n de firmas de malware.?
La base del concepto de factores es analizar ataques basados en la denominada t¨¢ctica, t¨¦cnica y procedimiento (TTP). Principalmente, se adquieren y organizan conocimientos sobre t¨¦cnicas.?
- ?T¨¢ctica: Un objetivo a corto plazo de un atacante?
- ?T¨¦cnica: Los medios para que un atacante logre un objetivo?
- ?Procedimiento: Un m¨¦todo espec¨ªfico para que un atacante utilice t¨¦cnicas?
Este marco se puede utilizar para ayudar a explicar de qu¨¦ manera se comporta el adversario, qu¨¦ est¨¢n intentando realizar y c¨®mo est¨¢n intentando realizarlo.?
Tener un lenguaje y un marco comunes es importante en la capacidad de comunicar, comprender y responder a las amenazas de la forma m¨¢s eficiente y efectiva posible.?
MITRE ATT&CK se ha convertido en una base de conocimientos cr¨ªtica para los ciberdefensores, mejorando en ¨²ltima instancia la eficiencia de la seguridad y el tiempo de respuesta. La evaluaci¨®n anual de MITRE compara la innovaci¨®n en todo el sector para ofrecer las soluciones necesarias para detectar y responder al panorama de amenazas en evoluci¨®n.
Recurso de
?
Este tipo de marco es extremadamente ¨²til para los profesionales de la seguridad de la informaci¨®n, ya que les ayuda a mantenerse al d¨ªa sobre las nuevas t¨¦cnicas de ataque y a evitar que se produzcan ataques en primer lugar.?
Las organizaciones utilizan ATT&CK para estandarizar conversaciones comunitarias, pruebas de defensa y evaluaciones de productos/servicios.
Evaluaciones de MITRE ATT&CK
MITRE ATT&CK Evaluation ofrece transparencia a los clientes y escenarios de ataque en el mundo real. Esto garantiza que los clientes puedan evaluar activamente los productos de seguridad para protegerse de los ¨²ltimos avances de los atacantes en funci¨®n de sus ¨¢reas de mayor necesidad. La evaluaci¨®n utiliza emulaci¨®n adversaria para garantizar que los clientes puedan abordar las amenazas actuales. Uso de t¨¦cnicas, herramientas, m¨¦todos y objetivos inspirados en los de un atacante.??
Las simulaciones se ejecutan en un entorno de laboratorio controlado para garantizar pruebas justas y precisas. A continuaci¨®n, se utilizan t¨¦cnicas de atacantes en el l¨®gico paso a paso para explorar la amplitud de la cobertura de ATT&CK.??
Las evaluaciones no son un an¨¢lisis competitivo. No hay puntuaciones, clasificaciones ni valoraciones. En su lugar, muestran c¨®mo cada proveedor aborda la detecci¨®n de amenazas en el contexto de la base de conocimientos de ATT&CK?
La evaluaci¨®n ofrece a los compradores y clientes de soluciones de ciberseguridad una opci¨®n imparcial para evaluar productos de seguridad con el fin de protegerse frente a los ¨²ltimos avances de los atacantes en funci¨®n de sus ¨¢reas de mayor necesidad.?
Por ejemplo, en 2022, la evaluaci¨®n emulaba flujos operativos de la t¨¦cnica Wizard Spider and Sandworm para simular ataques similares al comportamiento utilizado en la naturaleza por estos grupos. Despu¨¦s de ejecutar la simulaci¨®n, los resultados se procesaron y publicaron p¨²blicamente, incluida la metodolog¨ªa
MITRE ATT&CK Matrix
El marco MITRE ATT&CK est¨¢ estructurado en m¨²ltiples matrices, cada una adaptada a entornos espec¨ªficos donde operan las ciberamenazas. Estas matrices clasifican las t¨¢cticas, t¨¦cnicas y procedimientos (TTP) utilizados por los atacantes, ayudando a los equipos de seguridad a mejorar sus estrategias de defensa.
Matriz empresarial
La matriz m¨¢s completa, que cubre amenazas en entornos de nube, Windows, macOS y Linux. Incluye t¨¦cnicas como la escalaci¨®n de privilegios, el movimiento lateral y la exfiltraci¨®n de datos.
Matriz m¨®vil
Centrado en amenazas dirigidas a dispositivos iOS y Android. Esta matriz detalla t¨¦cnicas de ataque como robo de credenciales, explotaci¨®n de red y persistencia de malware m¨®vil.
Matriz de sistemas de control industrial (ICS)
Aborda ciberamenazas espec¨ªficas para entornos industriales, como sistemas SCADA. Destaca las t¨¦cnicas utilizadas para interrumpir la infraestructura cr¨ªtica, incluida la ejecuci¨®n de comandos no autorizados y la manipulaci¨®n del firmware.
T¨¢cticas de MITRE ATT&CK
Los aspectos b¨¢sicos de ATT&CK son una serie de t¨¦cnicas que representan acciones para que un atacante logre un objetivo. Los objetivos se clasifican como t¨¢cticas.?
La t¨¢ctica representa el "porqu¨¦" de la t¨¦cnica. Es el motivo por el que un atacante ejecuta una acci¨®n. Una t¨¦cnica es el "medio" de que un atacante logre un objetivo ejecutando una acci¨®n. Tambi¨¦n representa "Qu¨¦" adquiere el atacante.?
Al tomar el dominio de Enterprise como una analog¨ªa, la t¨¢ctica es la siguiente:?
- Acceso inicial: M¨¦todos que utilizan los atacantes para infiltrarse en una red, como el phishing, el compromiso de la cadena de suministro y la explotaci¨®n de aplicaciones p¨²blicas.?
- ·¡Âá±ð³¦³Ü³¦¾±¨®²Ô: °Õ¨¦³¦²Ô¾±³¦²¹²õ que ejecutan c¨®digo malicioso en un sistema, incluida la ejecuci¨®n de l¨ªnea de comandos, secuencias de comandos y explotaci¨®n para la ejecuci¨®n del cliente.?
- Persistencia: M¨¦todos que utilizan los atacantes para mantener el acceso despu¨¦s de un compromiso inicial, como la creaci¨®n de nuevas cuentas de usuario, modificaciones de registro y tareas programadas.?
- Escalamiento de privilegios: Formas en las que los adversarios obtienen permisos de mayor nivel, como la explotaci¨®n de vulnerabilidades, el dumping de credenciales y la manipulaci¨®n de tokens de acceso.?
- Evasi¨®n de defensa: °Õ¨¦³¦²Ô¾±³¦²¹²õ para eludir las medidas de seguridad, incluida la desactivaci¨®n de herramientas de seguridad, la ocultaci¨®n de archivos y la inyecci¨®n de procesos.?
- Acceso a credenciales: M¨¦todos para robar credenciales, como el registro de claves, los ataques de fuerza bruta y el dumping de credenciales.?
- Descubrimiento: T¨¢cticas utilizadas para recopilar informaci¨®n sobre un sistema o red, como el an¨¢lisis de la red y la enumeraci¨®n de cuentas.?
- Movimiento lateral: °Õ¨¦³¦²Ô¾±³¦²¹²õ para moverse entre sistemas, como el protocolo de escritorio remoto (RDP) y los ataques de paso de la memoria.?
- °ä´Ç±ô±ð³¦³¦¾±¨®²Ô: M¨¦todos para recopilar datos confidenciales, incluida la captura de pantalla, el registro de claves y los datos de bases de datos locales.?
- ·¡³æ´Ú¾±±ô³Ù°ù²¹³¦¾±¨®²Ô: Formas de transferir datos robados fuera de una red, como la exfiltraci¨®n cifrada y el abuso de almacenamiento en la nube.?
- Impacto: °Õ¨¦³¦²Ô¾±³¦²¹²õ destinadas a interrumpir las operaciones, incluida la implementaci¨®n de ransomware, la destrucci¨®n de datos y los ataques de denegaci¨®n de servicio.
°Õ¨¦³¦²Ô¾±³¦²¹²õ de MITRE ATT&CK
El marco de MITRE ATT&CK clasifica las t¨¦cnicas del adversario utilizadas en los ciberataques. Las t¨¦cnicas clave incluyen:?
- Acceso inicial: m¨¦todos como el phishing y la explotaci¨®n de aplicaciones p¨²blicas para obtener acceso.?
- ·¡Âá±ð³¦³Ü³¦¾±¨®²Ô: ejecuci¨®n de c¨®digo malicioso mediante l¨ªnea de comandos o scripting.?
- Persistencia: mantenimiento del acceso mediante cambios en el registro o tareas programadas.?
- Escalamiento de privilegios: obtener mayores privilegios mediante exploits o dumping de credenciales.?
- Evasi¨®n de defensa: eludir la seguridad con herramientas de ofuscaci¨®n o desactivaci¨®n.?
- Movimiento lateral: propagaci¨®n a trav¨¦s de las redes a trav¨¦s de RDP o mediante transferencia.?
- ·¡³æ´Ú¾±±ô³Ù°ù²¹³¦¾±¨®²Ô: Robo de datos mediante abuso en la nube o transferencias cifradas.?
Comprender estas t¨¦cnicas ayuda a las organizaciones a fortalecer las defensas de seguridad.?
Anatom¨ªa del marco de MITRE ATT&CK
Las t¨¢cticas son la descripci¨®n de lo que los atacantes intentan lograr.?
Las t¨¢cticas son similares a un cap¨ªtulo de un libro. Un CISO puede describir una historia que quiere contar con las t¨¢cticas de alto nivel utilizadas en un ataque y luego hacer referencia a las t¨¦cnicas para contar la historia de c¨®mo lograron el ataque, lo que proporciona m¨¢s detalles
Ejemplo de historia: Creaci¨®n de una historia de ataque en un lenguaje com¨²n
El objetivo del atacante era obtener acceso inicial a la red. Mediante el uso de un compromiso de drive-by con un enlace de spear-phishing y una relaci¨®n de confianza, el atacante obtuvo acceso inicial utilizando esta t¨¦cnica.??
Nota: El marco enumera todas las formas conocidas en las que un atacante puede obtener acceso inicial.?
?C¨®mo ayuda una soluci¨®n de ciberseguridad?
La soluci¨®n mapea los productos que tiene el marco de ATT&CK, mostrando t¨¢cticas y t¨¦cnicas sobre detecciones que demuestran c¨®mo podemos ayudarle a abordar los desaf¨ªos de detecci¨®n y respuesta a amenazas
?Qu¨¦ pasa con la prevenci¨®n?
Los controles preventivos son una parte importante de una estrategia de mitigaci¨®n de amenazas que a?ade resiliencia cuando est¨¢n bajo ataque. Los controles preventivos se probaron en la ¨²ltima ronda con la capacidad de desviar el riesgo de forma temprana permitiendo a las organizaciones pasar m¨¢s tiempo en problemas de seguridad m¨¢s dif¨ªciles
MITRE ATT&CK frente a Cyber Kill Chain
MITRE ATT&CK est¨¢ dise?ado para proporcionar un nivel m¨¢s profundo de granularidad en la descripci¨®n de lo que puede ocurrir durante un ataque que est¨¢ a la vanguardia de la Cadena de ciberdestrucci¨®n?
Hay siete pasos en la cadena de ciberdestrucci¨®n:?
- Reconocimiento?
- ±õ²Ô³Ù°ù³Ü²õ¾±¨®²Ô?
- ·¡³æ±è±ô´Ç³Ù²¹³¦¾±¨®²Ô?
- ·¡Âá±ð³¦³Ü³¦¾±¨®²Ô de privilegios?
- Movimiento lateral?
- Obuscaciones/antiforenses?
- Denegaci¨®n de servicio?
- ·¡³æ´Ú¾±±ô³Ù°ù²¹³¦¾±¨®²Ô
Casos de uso de MITRE ATT&CK
MITRE ATT&CK le permite organizar tecnolog¨ªas desde el punto de vista del atacante y hacer referencia a contramedidas en el lado de la defensa. Por lo tanto, se describen los siguientes casos de uso.
Emulaci¨®n adversaria
La emulaci¨®n de un atacante. Desde los grupos de la base de datos, extraiga t¨¦cnicas y escenarios de ataque utilizados por un atacante espec¨ªfico, detecte una serie de ataques y verifique si hay medidas defensivas contra esos ataques.
Red Teaming
Cree escenarios de ataque para ejercicios cibern¨¦ticos. El equipo rojo desempe?a el papel del atacante, el equipo azul desempe?a el papel de defensa y el equipo blanco desempe?a el papel de control y juicio.
Desarrollo de an¨¢lisis de comportamiento
En lugar de IoC e informaci¨®n sobre amenazas conocidas, utilice la base de conocimientos de ATT&CK y analice t¨¦cnicas y patrones de acci¨®n desconocidos para desarrollar nuevas contramedidas.?
Evaluaci¨®n de la brecha defensiva
Identifique lo que es deficiente en las contramedidas existentes de una organizaci¨®n. Determine las prioridades de inversi¨®n.
Evaluaci¨®n de madurez del SOC
Determinar la eficacia de la detecci¨®n, el an¨¢lisis y la respuesta por SOC.?
Enriquecimiento de la inteligencia de ciberamenazas
El analista puede comprender profundamente las acciones de un grupo de atacantes e informar de ellas. Es posible identificar claramente qu¨¦ tipo de herramientas ha utilizado un grupo espec¨ªfico, qu¨¦ tipo de tecnolog¨ªa y qu¨¦ procedimiento ha utilizado el grupo al iniciar ataques, recuperando datos de la base de datos.?
Aunque es un campo profesional, el sitio web de MITRE ATT&CK tambi¨¦n proporciona una aplicaci¨®n llamada ATT&CK Navigator, que le permite crear una matriz de acuerdo con los fines descritos anteriormente.
Resultados de MITRE ATT&CK 2024 para Enterprise Security
Detecci¨®n del 100 % de todos los pasos de ataque principales
En 2024, MITRE Engenuity mejor¨® el juego simulando las t¨¦cnicas de ataque modernas m¨¢s reales hasta la fecha. Decir que live casino online aplast¨® la tarea es una subestimaci¨®n.?
El incre¨ªble rendimiento de 2024 en las evaluaciones de MITRE Engenuity ATT&CK es nuestro quinto a?o consecutivo e incluye algunas de las puntuaciones m¨¢s altas jam¨¢s registradas para cualquier proveedor.?
?Con m¨¢s de 161 000 millones de amenazas bloqueadas en 2023, un aumento del 10 % con respecto a 2022, una mayor visibilidad del riesgo es crucial para detener proactivamente incluso los ataques m¨¢s avanzados.?
Las evaluaciones de este a?o se centraron en las t¨¢cticas, t¨¦cnicas y procedimientos (TTP) de DPRK, CL0P y LockBit, tres de las amenazas de ransomware m¨¢s sofisticadas y peligrosas que existen.