今年3月舉行的臺灣資安大會上,奧義智慧科技共同創辦人叢培侃在一場主題演講中,不僅說明示範他們透過端點與行為軌跡分析技術,並用AI推論案情,當中更是強調企業要有資安攻防評估的標準,而MITRE ATT&CK就是好用的工具,同時預告他們也有意願參與新一波的ATT&CK評估計畫。(攝影/羅正漢)

所謂知己知彼、百戰不殆,面對現今無法避免的針對性攻擊風險,要能夠了解自己並了解敵人,顯得越來越重要,不論是駭客攻擊手法分析與調查,以及網路威脅情報,都成為這幾年企業防護關注的焦點。不過,近一年來,出現了另一個APT防護必學的攻略,那就是以剖析攻擊面的資安框架MITRE ATT&CK。

因為,這個由MITRE提出的ATT&CK,對於描述駭客攻擊戰術流程,提供了具體且通用的架構,能帶來相當大的幫助,可以讓資安產業與企業之間,能有更一致的標準,去溝通與理解已知攻擊者入侵行為可能帶來的安全風險。例如,對於駭客偷取密碼的行為描述,業界能有統一的標準去依循,並讓企業可以更容易從攻擊手法前後,檢視入侵過程與關連性。

值得注意的是,對於ATT&CK這樣的概念,或許多數國內企業還是感到有些陌生,但其實它已經被全球許多資安業者與專家看重,而這股風潮更是在今年迅速發酵。

例如,今年3月初,在全球最大資安會議RSA Conference上最夯的話題,MITRE ATT&CK就是其中之一,而國內在3月中舉行的臺灣資安大會上,我們也看到許多講者,都開始提及或探討這個資安框架。

不僅如此,現在已經有資安業者,在他們的網路威脅情資或報告中,開始使用ATT&CK來解釋威脅入侵階段的攻擊描述,甚至已經把這套框架視為是一種標準,也有資安專家提出建議,企業可以利用ATT&CK,來提升自己的防禦體系,當成評估的標準。

在這樣的趨勢之下,未來ATT&CK將有很大的機會,在資安領域獲得更廣泛的採用,不論是解析駭客攻擊行為,或是用於企業紅藍隊的攻防模擬演練,以及資安方案的評估等。因此,對於ATT&CK這個新興的議題,勢必成為臺灣企業與資安產業,都值得參考與重視的新攻略。

MITRE ATT&CK風潮吹向臺灣,今年臺灣大型資安活動已有不少議程談論

在臺灣資安大會另一場主題演講中,趨勢科技全球核心技術部資深協理張裕敏,在談關鍵基礎設施的安全議題時,特別介紹了MITRE提出的ICS ATT&CK Matrix,並說明此矩陣已經針對工控環境攻擊方法與步驟系統化,區分為橫軸與縱軸呈現的戰略與手法。不過,他也指出,這不僅可以讓使用者與資安公司都受惠,但駭客其實也同樣能夠利用。

對於駭客攻擊流程能有具體且一致的描述

回想過去,面對無孔不入的針對式攻擊,近年來多數資安業者已經不再強調傳統的事前預防,而是更重視侵入過程的主動偵測,以及資安事件處理,並且談論到資安韌性(Resilience)。這是因為,近年的資安事件,已經突顯出每個企業都一定會被入侵的事實,而解析駭客使用的攻擊戰略與手法,就變得相當重要。

事實上,近年資安防護的重點已經更聚焦在網路威脅情報,以及攻擊狙殺鏈(Cyber Kill Chain)、駭客攻擊戰術流程(Tactics、Techniques與Procedures,TTP)的探討,目的也就是為了要更掌握敵人的身分、攻擊手法,才能更有效去因應與防範。

其實,在各家資安業者釋出的網路威脅情資或報告中,已經可以看到各業者描述了駭客入侵過程與手法。包括像是駭客使用釣魚信件、取得電腦權限、提權、繞過端點防護、橫向擴散與偷取資料等一系列的過程,提供給企業當成掌握攻擊流程與防範的參考。只是,過去各家資安業者,其實都有各自一套定義與故事描述方式,去說明整個攻擊過程,而隨著ATT&CK的出現,將開始改變這種各自表述的局勢。

舉例來說,這個ATT&CK提供的知識庫與模型,已經盤點了現行大型駭客組織,所使用的所有攻擊戰略與技術手法,並以系統性的歸納方式,整理成為一個通用的模型。而且,這個框架還在持續更新。

在今年4月,ATT&CK Enterprise框架已經提供新版。目前(6月中),在ATT&CK Enterprise的框架之下,將入侵期間駭客使用的戰略,分為了12個階段,包括入侵初期、執行、持續潛伏、權限提升、防禦逃脫、憑證存取、發現、橫向移動、收集、命令與控制、滲出與衝擊。而在這12項戰略階段當中,目前總共歸納了244項不同的技術手法,進而整理成為,一個可以顯示所有階段攻擊手法的矩陣模型(ATT&CK Matrix)。

換言之,就是透過標準化、架構化的資訊,當資安業者在側寫一個駭客團體攻擊使用的戰術流程與詳細手法時,就能透過這樣的一張矩陣去呈現,相對來說,當各界要檢視攻擊入侵的全貌時,也可以變得更加直覺。

剖析攻擊方具體手法並整理為知識庫,今年上半已歸納244個不同技術

由MITRE提出的ATT&CK資安框架,逐漸已經變成大家所接納的一種標準。這套框架將駭客使用的攻擊戰略與技法,透過有系統性的整理與歸納,進而成為能夠幫助理解攻擊者具備能力的知識庫。

有效幫助各界溝通入侵事件,並為企業防禦評估與攻防演練帶來幫助

為了幫助大家更容易理解,這個ATT&CK矩陣是如何能夠帶來助益,我們簡單畫分成兩大面向,並透過一些例子來說明。

第一個面向,是在複雜的攻擊流程概念溝通,以及威脅情資的報告提供與分析比較方面。例如,當我們要檢視APT3駭客團體的攻擊時,透過這個框架,可以很快看清入侵流程的脈絡,包括他們會使用的技術手法,以及這些技術所處的發展階段。

特別的是,這對於網路威脅情資的報告呈現,有很大的助益。讓各界能有一個更通用的語言,來溝通攻擊入侵的事件,透過這種結構化且便於比較與分析威脅情報的方法,用一張矩陣就能展示其戰術與技術。不論是資安人員彼此之間的溝通,或是與企業之間的討論,都會變得較為容易。

而且,即便是要分析兩個不同駭客組織是否有相似之處,過去不容易有比較基礎,現在也能利用矩陣做差異分析,像是針對APT3與APT29找出其攻擊行為差異,或是共通使用的技術。

綜合來看,這不僅可以讓入侵手法描述能有一致標準,對於防守方彼此間的溝通更有幫助。

第二個面向,是將有助於企業評估自己的防禦。透過ATT&CK矩陣,不僅是是用來分析了解敵人,也能幫助了解自己,例如,從駭客攻擊的每個階段,以及當中可能會用到的技術手法,企業也就能夠依此檢視自己的防禦,是否能夠涵蓋到這些面向,進而可以做到資安成熟度的評估。

因此,企業也可從駭客攻擊情境找出那些攻擊手法,是需要的優先級別處理或增強的防禦面;或是用於檢視導入的防禦設備、服務或機制,與之前評估時的防禦範圍有何不同。簡單來說,就是要能運用這樣的資安框架,了解自己的防禦需求。

更進一步來看,還能有助於紅藍隊攻防模擬演練,因為這套資安框架更容易提供攻擊情境。

舉例來說,企業可以設想一個攻擊情境,或是假設於之前APT團體的攻擊戰術,由於已經有了很具體的攻擊手法,因此企業可以利用自動化的攻擊模擬平臺(Automated Adversary Emulation),建立一套模擬紅隊的攻擊,進而藉此測試內部部署的資安產品或資安服務,是否能夠偵測到這些攻擊手法,並發出警告,也就是說,透過這樣的攻防模擬,將可以作為評估EDR產品,以及檢視自身防護需求的依據。

事實上,MITRE自去年也已經發起了ATT&CK評估(ATT&CK Evaluations)的計畫,並且獲得一些資安業者的響應。在首次的評估計畫中,就有7家業者參與,包括Carbon Black、CounterTack、Crowdstrike、Endgame、微軟、RSA與SentinelOne,今年又有FireEye、Cybereason與Palo Alto Networks跟進。

因此,隨著資安業界對於這項評估計畫的認可,最近,MITRE已經宣布要舉行第二回合的評估計畫,預計在8月中開始進行測試,而新評估計畫所套用的駭客團體攻擊行為,也將從之前的APT3,更換為APT29。

無論如何,從這股ATT&CK的應用浪潮來看,除了企業用於紅藍隊攻防演練,可以透過這樣的形式,對於資安業者而言,這也是能幫助他們向客戶驗證自身產品有效性的方法。而且,ATT&CK的應用概念與範圍,其實不僅於此,像是簡單的剖析惡意程式行為,其實也能套用,而我們也看到MITRE有針對工控系統的攻擊入侵,提出一套名為ICS ATT&CK的矩陣,同樣也是將駭客在各戰略階段所使用的技術手法,做出系統性且具體的歸納。

MITRE ATT&CK小知識

"根據MITRE的說明,ATT&CK是基於現實世界觀測的對手戰術與技術知識庫。其中A為Adversarial,代表對抗性的攻擊者,兩個T是Tactics與Technical,分別代表對手採用的戰略與技術手法,而C與K則是Common knowledge,說明了這將是一個通用的知識庫。"

關於這個由MITRE提出的ATT&CK框架,首先,MITRE是美國聯邦政府資助的非營利組織,協助多項資安相關研究的進行,同時也負責CVE漏洞資料庫計畫的維運。

對於ATT&CK框架這項研究計畫,是MITRE在2015年5月發起,最早他們是想把許多的APT攻擊事件統整起來,畢竟,不同資安業者對於每個駭客團體都有不同的稱呼與分析,而在處理的過程中,他們發現可以將每個駭客團體使用的技術手法,進一步的分類,例如,他們將每個攻擊方式,以較為簡短且通泛的說明來描述,並歸納到會使用該技術手法的戰略階段中。

基本上,目前ATT&CK模型可以分為三大部分,分別是PRE-ATT&CK、Enterprise與Mobile。

簡單來說,PRE-ATT&CK定義了駭客攻擊前置作業,目前畫分為15個戰略階段,而Enterprise是指具體的攻擊入侵過程,也是現在各界最主要討論的項目,當中並涵蓋Windows、Linux與macOS這三種系統平臺;至於Mobile則是針對行動平臺所發展,而其中的戰略與Enterprise有些相似,但還是存在一些差異。

另外,在MITRE過去的簡報中,也有針對ICS的部分,但也可能官建基礎設施較為敏感,目前未列在ATT&CK官網上。

 1   2   3 


Advertisement

更多 iThome相關內容