搜索

[16172] 2020-12-05_攻防最前线：ATT&CK模型解读

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-12-05_攻防最前线：ATT&CK模型解读 攻 防 最 前 线 ： A T T & C K 模 型 解 读 C h a r m v e   F r e e B u f   2 0 2 0 - 1 2 - 0 5 前 言 前 言 所 谓   E D R   即   E n d p o i n t   D e t e c t i o n   a n d   R e s p o n s e   ( 终 端 探 测 与 响 应 ) 。 E D R   和 市 场 上 常 见 的 E P P （   E n d p o i n t   P r o t e c t i o n P l a t f o r m ） 不 同 ， E D R   更 注 重 “ 探 测 ” 和 “ 响 应 ” 。 真 实 的 网 络 攻 击 并 不 是 一 蹴 而 就 的 ， 往 往 伴 随 着 多 次 不 同 的 攻 击 ， 最 后 才 能 突 破 防 御 达 成 攻 击 目 的 。 入 侵 一 定 会 有 痕 迹 ， E D R   希 望 在 最 终 灾 难 发 生 之 前 ， 通 过 对 入 侵 方 法 的 探 测 和 及 时 高 效 的 安 全 响 应 （ 警 报 、 隔 离 等 多 种 方 式 ） ， 将 安 全 事 故 发 生 的 几 率 降 到 最 低 。 谈 起   E D R   ， 必 然 将 谈 起   M i t r e 公 司 所 提 出 的   A T T & C K 的 概 念 ， 本 文 将 简 述   A T T & C K   知 识 。 攻 击 层 次 抽 象 攻 击 层 次 抽 象 网 络 攻 击 模 型 抽 象 （ 图 片 来 源 网 络 ， 侵 删 ） M i t r e   官 方 由 抽 象 层 次 高 低 举 例 了 三 种 网 络 攻 击 模 型 ： 高 抽 象 模 型 ： L o c k h e e d   M a r t i n   的   C y b e r   K i l l   C h a i n   模 型 、 M i c r o s f t   的   S T R I D E   模 型 等 中 抽 象 模 型 ： M i t r e   的   A T T & C K   模 型 低 抽 象 模 型 ： 漏 洞 数 据 集 、 恶 意 软 件 数 据 集 等 高 抽 象 模 型 普 遍 对 网 络 攻 击 的 抽 象 程 度 较 高 ， 无 法 更 好 地 服 务 与   E D R   所 需 要 的 “ 探 测 ” 和 “ 响 应 ” 的 要 求 ， 无 法 形 成 正 对 性 的 指 导 。 以   C y b e r   K i l l   C h a i n   模 型 为 例 ， 其 将 攻 击 行 为 拆 解 为 ： R e c o n n a i s s a n c e （ 侦 查 ） → W e a p o n i z a t i o n （ 武 器 化 ） →   D e l i v e r y （ 传 输 ） → E x p l o i t a t i o n （ 挖 掘 ） →   I n s t a l l a t i o n （ 植 入 ） →   C 2   :   C o m m a n d   &   C o n t r o l （ 命 令 和 控 制 ） → A c t i o n s   o n   O b j e c t i v e s （ 操 作 目 标 ） 。 这 一 模 型 对 于 高 纬 度 理 解 网 络 攻 击 有 一 定 意 义 ， 但 无 法 形 成 有 效 的 攻 击 路 线 ， 无 法 说 明 每 一 次 攻 击 行 为 之 间 的 联 系 。 A T T & C K   M a t r i x   f o r   E n t e r p r i s e   部 分
C y b e r   K i l l C h a i n （ 图 片 来 源 网 络 ， 侵 删 ） 低 抽 象 模 型 由 于 太 注 重 于 细 枝 末 节 ， 如 漏 洞 数 据 集 、 恶 意 软 件 数 据 集 等 ， 反 而 无 法 看 透 攻 击 者 的 攻 击 目 的 和 攻 击 全 貌 。 所 谓 “ 管 中 窥 豹 ， 可 见 一 斑 ” 。 M i t r e   对 网 络 攻 击 进 行 了 一 个 中 等 级 别 的 抽 象 ， 让   A T T & C K   模 型 能 够 更 好 地 服 务 于 以 下 方 面 的 问 题 ： 每 次 攻 击 行 为 之 间 的 联 系 连 续 的 攻 击 行 为 背 后 的 攻 击 目 标 每 次 攻 击 行 为 如 何 与 数 据 源 、 防 御 、 配 置 和 其 他 被 用 在 一 个 平 台 / 技 术 域 之 间 的 措 施 想 联 系 。 A T T & C K   模 型 模 型
A T T & C K   的 全 称 是   A d v e r s a r i a l   T a c t i c s ,   T e c h n i q u e s ,   a n d   C o m m o n   K n o w l e d g e   ( A T T & C K ) 。 A T T & C K   模 型 初 步 分 为 了 两 个 技 术 领 域 ， 分 别 是   E n t e r p r i s e   和   M o b i l e ， 每 个 领 域 对 应 不 同 的 平 台 。 E D R   主 要 用 于 企 业 市 场 ， 其   A T T & C K 模 型 主 要 是 围 绕   A T T & C K   M a t r i x   f o r   E n t e r p r i s e （   A T T & C K   矩 阵 ） 进 行 的 。 我 们 可 以 看 到 ， E n t e r p r i s e   领 域 主 要 面 向 的 平 台 为   L i n u x 、 M a c O S I   和   W i n d o w s A T T & C K   M a t r i x   的 解 读 的 解 读 由   A T T & C K   模 型 的 全 称 可 以 看 出 ， A T T & C K 模 型 主 要 围 绕 两 个 方 面 展 开   — —   T a c t i c s （ 策 略 ） 和   T e c h n i q u e s （ 技 术 ） 。 A T T   &   C K   M a t r i x
f o r   E n t e r p r i s e   部 分 A T T   & C K   M a t r i x   f o r   E n t e r p r i s e   全 貌 关 键 对 象 关 键 对 象   O b j e c t A T T & C K   模 型 中 有 四 个 关 键 对 象 ， 除 了   T a c t i c s 、 T e c h n i q u e s   还 有 G r o u p s   和   S o f t w a r e 。 T a c t i c s （ （ I D ： ： T A X X X X ） ） T a c t i c s   被 译 做 “ 攻 击 策 略 ” 可 能 更 合 适 。 它 反 映 了 网 络 攻 击 的 基 本 策 略 。 M i t r e   将 每 种   T a c t i c s   分 配 了   I D （ 以   T A   作 为 开 头 ， 后 面 接 数 字 ）   ， 方 便 信 息 安 全 工 作 者 进 行 查 询 。 如 ， I n i t i a l   A c c e s s （ I D   :   T A   0 0 0 1 ）   表 示 攻 击 者 试 图 接 入 被 攻 击 者 的 网 络 ，   E x e c u t i o n （ I D   :   T A   0 0 0 2 ） 表 示 攻 击 者 试 图 运 行 恶 意 代 码 。
T e c h n i q u e s （ （ I D ： ： T X X X X ） ） T e c h n i q u e s   即 完 成 某 个   T a c t i c s （ 攻 击 策 略 ） 所 涉 及 到 的 技 术 。 M i t r e   将 每 种   T e c h n i q u e   也 分 配 了   I D （ 以   T   作 为 开 头 ， 后 面 接 数 字 ）   。 每 一 种   T a c t i c s   下 有 多 种   T e c h n i q u e ， 每 个   T e c h n i q u e   可 以 为 多 种   T a c t i c s   服 务 。 如 ， P e r s i s t e n c e （ I D   :   T A   0 0 0 3 ）   策 略 涉 及 到 了 A c c e s s i b i l i t y   F e a t u r e s （ I D   :   T 1 0 1 5 ）   、 A p p C e r t   D L L s （ I D   : T 1 0 9 8 ）   和   A p p I n i t   D L L s （ I D   :   T 1 1 0 3 ）   等 多 种   T e c h n i q u e 。 而   A p p I n i t   D L L s   这 种 技 术 又 可 以 在   P r i v i l e g e E s c a l a t i o n （ I D   :   T A   0 0 0 4 ）   策 略 中 使 用 。 同 样 的   T e c h n i q u e   在 多 种   T a c t i c s   中 都 可 以 看 到 A T T & C K   模 型 为 特 定 的   T e c h n i q u e   对 象 提 供 了 相 关 参 数 ， 如 ： N a m e 、 I D 、 T a c t i c   和   D e s c r i p t i o n   等 。 方 便 更 好 的 让 T e c h n i q u e   与   T a c t i c s   等 相 联 系 。 例 . A p p l n i t   D L L s 的 参 数 G r o u p （ （ I D ： ： G X X X X ） ） M i t r e   同 样 也 整 理 了 一 些 世 界 上 著 名 的 黑 客 组 织 （ G r o u p s ） ， 也 提 供 了 这 些   G r o u p s   的 相 关 参 数 ， 包 括   G r o u p   的 基 本 描 述 、 别 名 、 历 史 攻 击 所 用 到 的 技 术 及 软 件 等 。
参 数 ： N a m e 、 I D 、 A l i a s e s 、 D e s c r i p t i o n 、 A l i a s   D e s c r i p t i o n 、 T e c h n i q u e s   U s e d 、 S o f t w a r e 。 9 4 个 G r o u p s   部 分 列 表 S o f t w a r e （ （ I D ： ： S X X X X ） ） S o f t w a r e 即 攻 击 者 经 常 用 的 软 件 ， 包 括 工 具 、 组 件 和 恶 意 软 件 。 其 参 数 包 括 ： N a m e 、 I D 、 A l i a s e s 、 T y p e 、 P l a t f o r m 、 D e s c r i p t i o n 、 A l i a s   D e s c r i p t i o n 、 T e c h n i q u e s   U s e d 、 G r o u p s 。 S o f t w a r e ： c m d 对 象 联 系 对 象 联 系   R e l a t i o n s h i p s 根 据   A T T & C K   模 型 给 出 的 四 个 关 键 对 象 ， 这 四 个 关 键 对 象 的 关 系 可 以 用 下 图 表 示 。 G r o u p s   用   T e c h n i q u e   和   S o f t w a r e   去 完 成   T a c t i c 。 S o f t w a r e   是 实 现   T e c h n i q u e   的 手 段 。
A T T   & a m p ; a m p ;   C K   M o d e l   R e l a t i o n s h i p s 以   A P T 2 8   用   M i m i k a t z （ 一 款 w i n d o w s 密 码 抓 取 神 器 ） 和   C r e d e n t i a l   D u m p i n g   技 术 去 完 成   C r e d e n t i a l   A c c e s s   的 关 系 模 型 如 下 。 A T T   & a m p ; a m p ;   C K   M o d e l   R e l a t i o n s h i p s   E x a m p l e A T T & C K   模 型 的 使 用 模 型 的 使 用 我 们 用   A T T & C K   模 型 干 什 么 ？ M i t r e   给 出 的 答 案 如 下 ： D e t e c t i o n s   a n d   A n a l y t i c s （ 检 测 和 分 析 ） ： （ 检 测 和 分 析 ） ： 帮 助 网 络 防 御 者 开 发 分 析 程 序 ， 以 检 测 对 手 使 用 的 技 术 。 T h r e a t   I n t e l l i g e n c e （ 威 胁 情 报 ） ： （ 威 胁 情 报 ） ： 为 分 析 人 员 提 供 了 一 种 通 用 语 言 来 构 造 ， 比 较 和 分 析 威 胁 情 报 。 A d v e r s a r y   E m u l a t i o n   a n d   R e d   T e a m i n g （ 攻 击 模 拟 ） ： （ 攻 击 模 拟 ） ： 提 供 了 一 种 通 用 语 言 和 框 架 ， 攻 击 模 拟 团 队 可 以 使 用 该 语 言 和 框 架 来 模 拟 特 定 威 胁 并 计 划 其 行 动 。 A s s e s s m e n t   a n d   E n g i n e e r i n g （ 评 估 与 工 程 化 ） ： （ 评 估 与 工 程 化 ） ： 可 用 于 评 估 组 织 的 能 力 并 推 动 工 程 决 策 。 总 结 总 结 A T T & C K   模 型 主 要 整 合 了 历 史 的 黑 客 组 织 和 攻 击 事 件 ， 以 攻 击 策 略 为 线 索 将 不 同 攻 击 策 略 所 对 应 的 攻 击 技 术 和 软 件
相 联 系 。 为 信 息 安 全 从 业 者 提 供 了 一 个 可 执 行 的 中 等 抽 象 化 的 模 型 。 信 息 技 术 日 新 月 异 ， 我 们 不 仅 要 防 范 过 去 的 攻 击 技 术 ， 也 将 面 临 新 的 攻 击 技 术 的 挑 战 。 参 考 参 考 1 .   M I T R E   A T T & C K .   h t t p s : / / a t t a c k . m i t r e . o r g / 2 .   M I T R E   A T T & C K ™ :   D e s i g n   a n d   P h i l o s o p h y .   h t t p s : / / w w w . m i t r e . o r g / s i t e s / d e f a u l t / f i l e s / p u b l i c a t i o n s / p r - 1 8 - 0 9 4 4 - 1 1 - m i t r e - a t t a c k - d e s i g n - a n d - p h i l o s o p h y . p d f 3 .   银 雁 冰 .   看 雪 .   [ 原 创 ] A T T & C K 一 般 性 学 习 笔 记 ,   h t t p s : / / b b s . p e d i y . c o m / t h r e a d - 2 5 4 8 2 5 . h t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理