搜索

[14681] 2019-10-09_浅谈ATT&CK：让“攻击手法”拥有通用语言

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-10-09_浅谈ATT&CK：让“攻击手法”拥有通用语言 浅 谈 A T T & C K ： 让 “ 攻 击 手 法 ” 拥 有 通 用 语 言 k i r a z h o u   F r e e B u f   2 0 1 9 - 1 0 - 0 9 秦 统 一 六 国 ， 立 小 篆 ， 由 此 民 族 文 化 交 融 。 秦 统 一 六 国 ， 立 小 篆 ， 由 此 民 族 文 化 交 融 。 而 今 而 今 A T T & C K 统 一 攻 击 手 法 的 描 述 ， 让 威 胁 无 所 遁 形 。 统 一 攻 击 手 法 的 描 述 ， 让 威 胁 无 所 遁 形 。 2 0 1 9 年 3 月 的 R S A   大 会 上 ， 有 超 过 1 0 个 议 题 讨 论 A T T & C K 的 应 用 ， 6 月 的 G a r t n e r   S e c u r i t y   &   R i s k   M a n a g e m e n t S u m m i t 会 上 ， A T T & C K 被 F - S e c u r e 评 为 十 大 关 注 热 点 。 俨 然 ， A T T & C K 已 经 成 为 了 2 0 1 9 年 网 络 空 间 安 全 最 热 门 的 议 题 之 一 。 那 么 ， 那 么 ， A T T & C K 是 什 么 ？ 是 什 么 ？ 谈 及 A T T & C K ， 或 许 很 多 人 并 不 那 么 熟 悉 ， 相 比 之 下 ， C y b e r   K i l l   C h a i n 更 为 耳 熟 。 近 年 来 ， 很 多 网 络 安 全 公 司 发 布 威 胁 情 报 / 报 告 ， 描 述 所 追 踪 到 的 一 些 黑 客 组 织 的 动 态 、 攻 击 行 为 ， 由 此 给 更 多 企 业 以 参 考 。 但 C y b e r   K i l l   C h a i n ， 也 就 是 网 络 杀 伤 链 描 述 却 没 有 一 个 统 一 的 标 准 。 这 就 导 致 了 同 一 个 攻 击 事 件 ， 在 不 同 安 全 厂 商 的 报 告 中 描 述 有 所 出 入 。 没 有 标 准 ， 难 分 对 错 ， 但 也 带 来 了 很 多 不 便 。 A T T & C K ， 就 是 在 “ K i l l   C h a i n ” 模 型 基 础 上 ， 针 对 更 具 可 观 测 性 的 后 四 个 阶 段 中 的 攻 击 者 行 为 ， 构 建 了 一 套 更 细 粒 度 、 更 易 共 享 的 知 识 框 架 。 用 观 察 结 果 ， 描 述 和 分 类 对 抗 行 为 用 观 察 结 果 ， 描 述 和 分 类 对 抗 行 为 2 0 1 3 年 ， M I T R E 推 出 了 A T T & C K 模 型 ， 根 据 真 实 的 观 察 数 据 来 描 述 和 分 类 对 抗 行 为 。 说 到 A T T & C K ， 顺 便 提 一 句 它 背 后 的 公 司 ， M I T R E ， 一 家 美 国 政 府 资 助 的 非 营 利 性 研 究 机 构 。 M I T R E 的 履 历 上 有 F A A 空 中 交 通 管 制 系 统 、 A W A C S 机 载 雷 达 系 统 等 亮 眼 的 表 现 ， 后 来 又 在 美 国 国 家 标 准 技 术 研 究 所 （ N I S T ） 的 资 助 下 ， 做 了 大 量 的 网 络 安 全 实 践 。 而 A T T & C K   ， 也 就 是 A d v e r s a r i a l   T a c t i c s ,   T e c h n i q u e s ,   a n d   C o m m o n   K n o w l e d g e s   。 顾 名 思 义 ， 这 并 不 是 一 项 技 术 , 而 是 更 加 底 层 “ 知 识 库 ” 的 基 础 框 架 。 譬 如 ， A T T & C K 会 详 细 介 绍 每 一 种 技 术 的 利 用 方 式 ， 以 及 为 什 么 了 解 这 项 技 术 对 于 防 御 者 来 说 很 重 要 。 同 时 ， 把 真 实 环 境 中 使 用 到 的 对 抗 技 术 形 成 一 套 策 略 。 可 以 说 ， 它 的 着 眼 点 不 是 单 个 的 I O C ， 而 是   I O C   处 于 攻 击 过 程 中 的 上 下 文 ， 也 就 是 从 点 扩 展 到 了 面 扩 展 到 了 链 。 当 A T T & C K   把 那 些 上 下 文 信 息 都 用 更 加 一 套 标 准 和 抽 象 的 方 式 总 结 成 了 初 始 访 问 、 驻 留 、 横 向 移 动 、 命 令 控 制 等 阶 段 ， 并 且 将 具 体 的 攻 击 行 为 整 理 到 一 起 ， 可 以 想 象 的 是 ， 我 们 可 以 像 翻 阅 字 典 一 样 ， 轻 易 地 找 到 相 对 应 的 常 见 战 术 动 作 ， 甚 至 做 到 杀 伤 链 还 原 ， 更 好 地 应 对 攻 击 。 目 前 ， A T T & C K 模 型 分 为 三 部 分 ， 分 别 是 P R E - A T T & C K ， A T T & C K   f o r   E n t e r p r i s e 和 A T T & C K   f o r   M o b i l e ， 其 中 P R E - A T T & C K 覆 盖 攻 击 链 模 型 的 前 两 个 阶 段 ， A T T & C K   f o r   E n t e r p r i s e 覆 盖 攻 击 链 的 后 五 个 阶 段 。
P R E - A T T & C K 包 括 的 战 术 有 优 先 级 定 义 、 选 择 目 标 、 信 息 收 集 、 发 现 脆 弱 点 、 攻 击 性 利 用 开 发 平 台 、 建 立 和 维 护 基 础 设 施 、 人 员 的 开 发 、 建 立 能 力 、 测 试 能 力 、 分 段 能 力 。 A T T & C K   f o r   E n t e r p r i s e 包 括 的 战 术 有 访 问 初 始 化 、 执 行 、 常 驻 、 提 权 、 防 御 规 避 、 访 问 凭 证 、 发 现 、 横 向 移 动 、 收 集 、 数 据 获 取 、 命 令 和 控 制 。 A T T & C K ： 威 胁 洞 见 的 指 导 手 册 ： 威 胁 洞 见 的 指 导 手 册 以 P e t y a 为 例 ， 新 的 网 络 空 间 安 全 态 势 下 ， 攻 击 者 在 变 得 更 强 ， 他 们 的 基 础 设 施 会 更 有 适 应 能 力 ， 武 器 库 会 不 断 补 充 完 善 ， 而 他 们 自 身 的 攻 击 手 段 也 在 不 断 提 升 ， 0 d a y 漏 洞 、 在 野 漏 洞 的 利 用 变 得 更 快 。 在 这 样 的 背 景 下 ， 不 管 是 小 之 一 个 企 业 ， 还 是 大 之 一 个 国 家 ， 威 胁 情 报 的 作 用 都 不 言 而 喻 。 A T T & C K ， 则 给 出 了 一 些 新 的 思 路 。 1 、 安 全 分 析 ， 改 善 防 御 体 系 、 安 全 分 析 ， 改 善 防 御 体 系 一 般 来 说 ， A P T 组 织 具 有 强 烈 的 地 域 属 性 和 行 业 属 性 。 因 此 ， 在 明 确 所 属 行 业 后 ， 如 一 家 保 险 公 司 ， 即 处 于 金 融 行 业 ， 通 过 在 A T T & C K 检 索 f i n a n c e ， 可 以 检 索 到 针 对 金 融 行 业 的 A P T 组 织 。 选 择 某 一 A P T 组 织 ， 如 A P T 3 8 ， 就 可 以 快 速 了 解 该 黑 客 组 织 的 具 体 信 息 ， 比 如 基 本 介 绍 ， 常 用 攻 击 手 段 、 技 巧 等 。 再 通 过 分 析 其 使 用 的 T T P s ， 还 原 入 侵 过 程 。 而 根 据 这 些 分 析 ， 企 业 可 以 更 好 地 理 解 攻 击 者 的 后 续 行 为 ， 比 如 该 黑 客 组 织 更 关 注 的 关 键 资 产 部 分 是 什 么 ， 由 此 针 对 性 地 改 善 公 司 的 防 御 体 系 ， 或 通 过 特 定 攻 击 者 的 威 胁 情 报 和 攻 击 手 法 来 模 拟 威 胁 ， 测 试 企 业 的 安 全 能 力 。 整 个 过 程 中 ， 由 于 A T T & C K 对 攻 击 性 操 作 进 行 细 分 和 分 类 ， 提 供 了 相 对 完 善 的 参 照 ， 可 以 说 极 大 减 少 了 安 全 分 析 中 整 理 总 结 的 成 本 。
2 、 威 胁 情 报 捕 获 、 威 胁 情 报 捕 获 结 合 等 级 保 护 条 例 2 . 0 中 提 出 的 部 署 威 胁 情 报 检 测 系 统 成 为 合 规 的 必 需 ， 以 及 攻 防 演 练 中 威 胁 情 报 发 挥 的 重 要 作 用 ， 可 以 预 计 威 胁 情 报 的 应 用 和 落 地 将 迎 来 爆 发 性 增 长 。 除 了 发 现 和 响 应 威 胁 ， 如 何 快 速 识 别 并 且 捕 获 威 胁 成 为 了 企 业 最 新 的 议 题 。 3 、 态 势 感 知 、 态 势 感 知 态 势 感 知 往 往 是 观 察 、 理 解 、 预 测 ， 对 未 来 的 可 能 发 生 的 事 件 进 行 预 测 。 而 A T T & C K 可 以 做 到 观 察 数 据 的 分 类 、 归 并 和 关 联 分 析 ， 从 而 还 原 杀 伤 链 ， 帮 助 企 业 更 好 地 进 行 上 下 文 理 解 和 行 为 预 测 ， 从 而 实 现 态 势 感 知 的 目 的 。 简 单 的 说 ， 在 A T T & C K 知 识 库 的 支 撑 下 ， 我 们 可 以 知 道 ： 对 手 是 谁 ， 黑 产 ？ 黑 客 组 织 ？ 国 外 威 胁 体 ？ 对 手 水 平 怎 么 样 ？ 常 用 的 战 术 手 段 是 什 么 ？ 对 比 之 下 ， 我 们 和 对 手 的 优 劣 势 在 哪 ？ 最 后 ， 制 定 一 个 防 御 策 略 。 产 品 落 地 ？ 备 受 期 待 产 品 落 地 ？ 备 受 期 待 A T T & C K 是 个 好 东 西 ， 但 是 谁 来 用 ， 怎 么 用 ， 才 能 发 挥 最 大 的 作 用 ？ 目 前 ， A T T & C K 的 发 展 趋 势 或 是 应 用 大 致 有 4 类 ： 1 、 拿 来 做 红 蓝 军 建 设 ， 练 手 2 、 用 来 评 估 企 业 安 全 能 力 3 、 建 设 威 胁 情 报 模 型 4 、 甲 方 用 来 做 安 全 建 设 在 笔 者 看 来 ， 一 方 面 ， A T T & C K 上 信 息 量 大 ， 覆 盖 行 业 广 ， 但 缺 少 细 分 行 业 的 深 入 分 析 ， 对 于 关 键 技 术 点 的 介 绍 也 相 对 比 较 缺 失 ， 企 业 构 建 自 己 的 A T T & C K 知 识 库 管 理 平 台 或 成 为 趋 势 ， 通 过 大 量 的 针 对 性 的 事 件 分 析 、 行 为 分 析 ， 在 网 络 安 全 防 御 中 更 好 地 了 解 对 手 行 为 ， 逐 渐 优 化 适 合 自 身 的 威 胁 分 析 模 型 ， 提 升 防 御 能 力 。 另 一 方 面 ， A T T & C K 框 架 的 产 品 化 落 地 ， 对 于 安 全 市 场 、 安 全 厂 商 或 是 企 业 客 户 来 说 ， 都 可 以 说 是 福 音 ， 直 接 基 于 T T P 的 分 析 ， 让 威 胁 更 加 无 所 遁 形 ， 而 对 于 攻 击 者 来 说 ， 改 变 行 为 需 要 新 的 技 术 和 攻 击 手 段 ， 攻 击 成 本 将 大 幅 提 高 。 虽 然 产 品 化 落 地 还 有 一 段 路 要 走 ， 攻 击 上 下 文 理 解 的 难 度 、 匹 配 结 果 存 在 嵌 套 等 难 点 还 需 要 继 续 攻 克 。 但 是 笔 者 对 于 A T T & C K 的 技 术 发 展 和 市 场 前 景 依 旧 持 乐 观 态 度 。 也 简 单 梳 理 了 几 条 建 议 ： 1 、 跑 步 之 前 先 学 会 走 路 ： 处 于 安 全 布 局 初 期 的 企 业 ， 不 要 从 A T T & C K 起 步 ， 一 定 要 先 做 好 早 期 的 组 织 安 全 体 系 架 构 ， 在 坚 固 的 安 全 基 础 的 土 壤 下 ， 再 考 虑 A T T & C K 的 引 入 问 题 。 2 、 适 合 自 己 的 才 是 最 好 的 ： 构 建 A T T & C K 也 要 循 序 渐 进 。 根 据 自 己 所 处 的 行 业 领 域 、 发 展 规 模 、 面 临 的 主 要 威 胁 ， 再 选 择 从 某 一 种 方 式 开 始 做 A T T & C K ， 切 忌 一 口 吃 成 胖 子 。 3 、 数 据 库 信 息 需 要 经 常 性 快 速 更 新 ， 由 于 网 络 空 间 变 化 快 ， 武 器 库 、 攻 击 手 段 层 出 不 穷 ， A T T & C K 数 据 库 势 必 要 经 常 性 更 新 ， 降 低 因 未 涵 盖 到 的 技 术 或 变 种 而 带 来 的 攻 击 影 响 。 参 考 链 接 参 考 链 接
h t t p s : / / w w w . s e c u r i t y w e e k . c o m / w h e r e - b e g i n - m i t r e - a t t c k - m a t r i x h t t p s : / / m p . w e i x i n . q q . c o m / s / j d B T 6 E - n e Y y u h 7 f m 5 a H A i Q h t t p s : / / m p . w e i x i n . q q . c o m / s / j d B T 6 E - n e Y y u h 7 f m 5 a H A i Q * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理