搜索

[6293] 2019-11-19_如何基于沙箱的威胁情报平台上搭建ATT&CK展示界面？

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-17
2019-11-19_如何基于沙箱的威胁情报平台上搭建ATT&CK展示界面？ 如 何 基 于 沙 箱 的 威 胁 情 报 平 台 上 搭 建 A T T & C K 展 示 界 面 ？ 安 恒 信 息   E 安 全   2 0 1 9 - 1 1 - 1 9 安 恒 安 全 研 究 院 猎 影 威 胁 情 报 分 析 团 队 基 于 对 A T T & C K 部 分 公 开 资 料 的 学 习 ， 梳 理 了 一 些 学 习 心 得 ， 包 括 ： A T T & C K 是 什 么 ？ 如 何 使 用 A T T & C K ？ A T T & C K 的 优 势 、 误 区 及 展 望 ？ 如 何 借 助 公 开 资 料 在 基 于 沙 箱 的 威 胁 情 报 平 台 上 搭 建 A T T & C K 展 示 界 面 ？ 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 学 习 笔 记 基 于 对 以 下 5 个 公 开 文 档 的 学 习 ： •   《 M I T R E   A T T & C K ： D e s i g n   a n d   P h i l o s o p h y 》 •   《 P u t t i n g   M I T R E   A T T & C K   i n t o   A c t i o n   w i t h   W h a t   Y o u   H a v e ,   W h e r e   Y o u   A r e 》 •   《 I m p r o v i n g   T h r e a t   I n t e l l i n g e n c e   a n d   C y b e r   D e f e n s e   w i t h   M I T R E   A T T & C K 》 •   《 A T T & C K ™   Y o u r   C T I   w i t h   L e s s o n s   L e a r n e d   f r o m   F o u r   Y e a r s   i n   t h e   T r e n c h e s 》 《 A T T & C K ™   I s   O n l y   a s   G o o d   a s   I t s   I m p l e m e n t a t i o n :   A v o i d i n g   F i v e   C o m m o n   P i t f a l l s 》 A T T & C K 是 什 么 ？ 是 什 么 ？ A T T & C K 的 全 称 是 A d v e r s a r i a l   T a c t i c s ,   T e c h n i q u e s ,   a n d   C o m m o n   K n o w l e d g e   ( A T T & C K ) 。 它 是 一 个 站 在 攻 击 者 的 视 角 来 描 述 攻 击 中 各 阶 段 用 到 的 技 术 的 模 型 。 该 模 型 由 M I T R E 公 司 提 出 ， 这 个 公 司 一 直 以 来 都 在 为 美 国 军 方 做 威 胁 建 模 ， 之 前 著 名 的 S T I X 模 型 也 是 由 该 公 司 提 出 的 。 官 方 对 A T T & C K 定 义 如 下 ： M I T R E ’ s   A d v e r s a r i a l   T a c t i c s ,   T e c h n i q u e s ,   a n d   C o m m o n   K n o w l e d g e   ( A T T & C K )   i s   a   c u r a t e d   k n o w l e d g e   b a s e   a n d   m o d e l   f o r c y b e r   a d v e r s a r y   b e h a v i o r ,   r e f l e c t i n g   t h e   v a r i o u s   p h a s e s   o f   a n   a d v e r s a r y ’ s   a t t a c k   l i f e c y c l e   a n d   t h e   p l a t f o r m s   t h e y   a r e   k n o w n   t o t a r g e t . 技 术 域 和 平 台 技 术 域 和 平 台
A T T & C K 最 直 观 的 表 现 是 一 个 矩 阵 。 A T T & C K 按 照 技 术 域 ( T e c h n o l o g y   D o m a i n s ) 和 平 台 ( P l a t f o r m ) 进 行 了 分 类 ， 如 下 ： T e c h n o l o g y   D o m a i n s P l a t f o r m ( s )   d e f i n e d E n t e r p r i s e L i n u x ,     m a c O S ,   W i n d o w s , C l o u d M o b i l e A n d r o i d ,     i O S 在 具 体 的 矩 阵 表 示 中 ， 上 述 分 类 都 是 基 于 p o s t - c o m p r o m i s e 阶 段 。 为 了 对 这 之 前 的 p r e - c o m p r o m i s e 阶 段 进 行 描 述 ， A T T & C K 又 建 立 了 另 外 一 个 矩 阵 ， 叫 做 P R E - A T T & C K   M a t r i x 。 设 计 理 念 设 计 理 念 I t   m a i n t a i n s   t h e   a d v e r s a r y ’ s   p e r s p e c t i v e   （ 基 于 攻 击 者 视 角 ） I t   f o l l o w s   r e a l - w o r l d   u s e   o f   a c t i v i t y   t h r o u g h   e m p i r i c a l   u s e   e x a m p l e s   （ 借 助 先 验 案 例 追 踪 现 实 世 界 中 的 用 法 ） T h e   l e v e l   o f   a b s t r a c t i o n   i s   a p p r o p r i a t e   t o   b r i d g e   o f f e n s i v e   a c t i o n   w i t h   p o s s i b l e   d e f e n s i v e   c o u n t e r m e a s u r e s   （ 抽 象 层 次 恰 好 可 以 比 较 好 地 将 攻 击 手 法 和 防 守 措 施 联 系 起 来 ） 抽 象 层 次 抽 象 层 次 根 据 官 方 表 述 ， A T T & C K 的 抽 象 层 次 被 定 位 在 比 较 中 间 的 阶 段 。 我 们 来 看 一 张 图 ： 由 上 图 可 以 看 到 ， M I T R E 公 司 认 为 洛 克 西 · 马 丁 公 司 的 C y b e r   K i l l   C h a i n 模 型 是 比 较 高 层 次 的 抽 象 。 以 下 为 洛 克 西 · 马 丁 官 方 给 出 的 C y b e r   K i l l   C h a i n ：
M I T R E 公 司 认 为 上 面 的 模 型 对 于 理 解 高 维 度 的 过 程 和 攻 击 者 目 标 很 有 帮 助 ， 但 这 类 模 型 无 法 有 效 描 述 对 手 在 单 个 行 动 中 做 了 什 么 ， 例 如 ： • 一 次 行 动 与 另 一 次 行 动 之 间 有 什 么 联 系 ？ • 连 续 的 行 动 是 如 何 与 敌 人 的 战 术 目 标 联 系 起 来 的 ？ • 这 些 行 动 与 数 据 源 、 防 御 、 配 置 和 其 他 被 用 在 一 个 平 台 / 技 术 域 之 间 的 措 施 间 如 何 具 体 联 系 起 来 ？ 相 反 的 ， 对 于 抽 象 层 次 比 较 低 ( 或 几 乎 没 有 抽 象 ) 的 一 些 概 念 ， 诸 如 具 体 的 漏 洞 利 用 数 据 集 ， 各 类 恶 意 软 件 数 据 集 。 M I T R E 公 司 认 为 ， 这 些 概 念 在 描 述 具 体 技 术 的 实 现 细 节 方 面 是 非 常 详 细 的 ， 大 部 分 还 存 在 详 细 的 代 码 片 段 。 但 它 们 的 短 板 在 于 “ 只 见 树 木 ， 不 见 森 林 ” 。 研 究 员 在 分 析 一 个 具 体 漏 洞 或 利 用 时 ， 或 在 分 析 一 款 具 体 的 恶 意 软 件 时 ， 并 不 知 道 它 是 什 么 时 候 在 什 么 情 况 下 被 什 么
人 使 用 的 ， 从 而 缺 乏 有 效 的 上 下 文 。 而 且 ， 这 个 层 次 的 表 述 也 没 有 考 虑 到 一 些 合 法 的 软 件 如 何 可 以 被 用 来 实 现 恶 意 操 作 。 而 A T T & C K 这 种 中 间 层 次 的 模 型 可 以 将 上 述 这 几 个 部 分 有 效 连 接 起 来 。 A T T & C K 中 的 战 术 和 技 术 将 一 次 生 命 周 期 中 的 攻 击 者 行 为 定 义 到 了 一 个 能 将 其 更 有 效 映 射 到 防 御 的 程 度 。 高 级 别 的 概 念 ( 战 术 ) ， 诸 如 控 制 、 执 行 和 维 持 被 进 一 步 分 解 为 更 具 描 述 性 的 分 类 ( 技 术 ) 。 而 且 技 术 的 具 体 实 现 过 程 还 可 以 细 分 ， 一 项 技 术 可 以 通 过 多 种 方 式 去 进 行 实 现 。 一 个 中 间 层 次 模 型 也 可 以 有 效 地 将 低 抽 象 层 级 的 概 念 ( 如 漏 洞 利 用 、 恶 意 软 件 ) 放 入 上 下 文 中 进 行 思 考 。 漏 洞 利 用 和 恶 意 软 件 对 于 攻 击 者 的 武 器 库 来 说 是 很 有 用 的 ， 但 要 完 全 理 解 它 们 的 实 用 性 ， 有 必 要 了 解 它 们 在 实 现 目 标 过 程 中 的 上 下 文 。 一 个 中 间 层 次 模 也 可 以 将 威 胁 情 报 和 事 件 数 据 联 系 起 来 ， 以 显 示 谁 正 在 做 什 么 ， 以 及 特 定 技 术 的 使 用 普 遍 性 。 数 据 结 构 数 据 结 构 M I T R E 在 定 义 A T T & C K 时 ， 定 义 了 一 些 关 键 对 象 ： • 战 术   ( T a c t i c s ) • 技 术   ( T e c h n i q u e s ) • 组 织   ( G r o u p s ) • 软 件   ( S o f t w a r e ) 《 M I T R E   A T T & C K ： D e s i g n   a n d   P h i l o s o p h y 》 一 文 中 的 第 3 节 对 这 4 个 对 象 的 数 据 结 构 进 行 了 详 细 定 义 。 以 下 是 这 4 个 对 象 之 间 的 关 系 ： 当 对 应 到 具 体 情 境 时 原 文 举 了 一 个 A P T 2 8 的 例 子 ：
关 于 这 一 节 的 详 细 信 息 可 以 阅 读 《 M I T R E   A T T & C K ： D e s i g n   a n d   P h i l o s o p h y 》 怎 么 用 ？ 怎 么 用 ？ A T T & C K 能 用 来 干 什 么 ？ 以 下 是 官 方 给 出 的 答 案 ： • D e t e c t i o n   （ 提 升 检 测 ） • A s s e s s m e n t   a n d   E n g i n e e r i n g   （ 评 估 与 工 程 化 ） • T h r e a t   I n t e l l i g e n c e   （ 威 胁 情 报 ）   • A d v e r s a r y   E m u l a t i o n   （ A P T 模 拟 ） 下 面 稍 微 列 举 一 下 提 升 检 测 部 分 可 采 用 的 做 法 。 D e t e c t i o n • I m p r o v e   f o c u s   o n   p o s t - e x p l o i t   a c t i v i t y   ( i n   a d d i t i o n   t o   p e r i m e t e r   d e f e n s e s )   （ 主 要 关 注 利 用 后 的 活 动 ） – 基 于 我 们 已 有 的 日 志 （ S a n d b o x   l o g s ） – 当 前 检 测 能 力 的 覆 盖 率 评 估   （ C o v e r a g e   R a t i n g ） – 对 每 种 检 测 的 质 量 进 行 评 级   （ Q u a l i t y ） – 对 每 种 检 测 的 可 信 度 进 行 评 级   （ C o n f i d e n c e ） • M o v e   t o w a r d   d e t e c t i n g   a d v e r s a r y   T T P s   i n   a d d i t i o n   t o   i n d i c a t o r s   （ 在 迹 象 检 测 的 基 础 上 ， 逐 步 转 移 到 迹 象 加 攻 击 者 T T P s 的 检
测 ） • O r g a n i z e   d e t e c t i o n s   t o   e n a b l e : – F i n d i n g   g a p s   i n   c o v e r a g e   ( 找 出 覆 盖 率 上 的 空 缺 ) – T a c k i n g   i m p r o v e m e n t   o v e r   t i m e   ( 随 时 间 推 移 逐 渐 改 进 这 些 空 缺 ) 更 多 关 于 A s s e s s m e n t   a n d   E n g i n e e r i n g / T h r e a t   I n t e l l i g e n c e / A d v e r s a r y   E m u l a t i o n   的 用 法 请 阅 读 《 P u t t i n g   M I T R E   A T T & C K   i n t o A c t i o n   w i t h   W h a t   Y o u   H a v e ,   W h e r e   Y o u   A r e 》 和 《 A T T & C K ™   Y o u r   C T I   w i t h   L e s s o n s   L e a r n e d   f r o m   F o u r   Y e a r s   i n   t h e T r e n c h e s 》 优 势 优 势 当 前 问 题 当 前 问 题 基 于 基 于 A T T & C K 的 威 胁 情 报 的 威 胁 情 报 需 要 阅 读 的 报 告 太 多 难 以 将 情 报 应 用 到 防 御 依 赖 I O C 结 构 化 的 威 胁 情 报 ， 更 便 于 消 化 A P T 报 告 提 供 了 一 种 直 接 将 情 报 与 防 御 进 行 比 较 的 方 式       转 向 T T P s 和 基 于 行 为 的 检 测 外 加 ： • 提 供 了 一 种 可 以 用 来 沟 通 的 通 用 语 言 • 允 许 我 们 比 较 A P T 组 织 （ G r o u p s ） 这 部 分 的 详 细 信 息 可 以 阅 读 《 A T T & C K ™   Y o u r   C T I   w i t h   L e s s o n s   L e a r n e d   f r o m   F o u r   Y e a r s   i n   t h e   T r e n c h e s 》 误 区 误 区 1 . D o n ’ t   A s s u m e   A l l   T e c h n i q u e s   A r e   E q u a l   （ 不 要 假 设 所 有 的 技 术 都 是 等 价 的 ） 2 . D o n ’ t   T r y   B u i l d i n g   A l e r t s   f o r   E v e r y   T e c h n i q u e   （ 不 要 盲 目 追 求 覆 盖 率 ， 简 单 的 、 有 效 的 、 擅 长 的 技 术 先 来 ） 3 . D o n ’ t   M i s u n d e r s t a n d   Y o u r   C o v e r a g e   （ 每 种 技 术 的 实 现 都 是 多 样 的 ， 先 实 现 那 些 已 经 公 开 的 ， 一 种 一 种 来 ） 4 . D o n ’ t   S t a y   i n   t h e   M a t r i x   （ 敌 人 永 远 有 新 手 法 出 现 ， 不 要 局 限 在 M a t r i x 内 ）
5 . D o n ’ t   F o r g e t   t h e   F u n d a m e n t a l s   （ 那 些 基 础 的 防 御 元 素 一 样 很 重 要 ， 不 要 顾 此 失 彼 （ 安 全 意 识 训 练 、 漏 洞 管 理 、 最 小 权 限 原 则 ） ） 这 部 分 的 详 细 信 息 可 以 阅 读 《 A T T & C K ™   I s   O n l y   a s   G o o d   a s   I t s   I m p l e m e n t a t i o n :   A v o i d i n g   F i v e   C o m m o n   P i t f a l l s 》 挑 战 挑 战 • B e i n g   r e a l i s t i c   a b o u t   c o v e r a g e   （ 对 覆 盖 率 有 比 较 现 实 的 认 识 ） • H a n d l i n g   f a l s e   p o s i t i v e s   – 更 多 覆 盖 率 意 味 着 更 多 误 报 – 可 以 借 助 比 较 新 颖 的 方 式 ， 如 机 器 / 深 度 学 习 等 方 式 减 少 误 报 • G e t t i n g   a n d   s e a r c h i n g   d a t a   （ 如 何 获 得 和 搜 索 数 据 ） 这 部 分 的 详 细 信 息 可 以 阅 读 《 I m p r o v i n g   T h r e a t   I n t e l l i n g e n c e   a n d   C y b e r   D e f e n s e   w i t h   M I T R E   A T T & C K 》 展 望 展 望 • I m p r o v e   a n d   a d d   t o   A T T & C K   c o n t e n t   （ 持 续 改 进   A T T & C K   的 内 容 ） – S u b - t e c h n i q u e s   （ 子 技 术 ） – I m p a c t s   （ 影 响 ） – N e w   t e c h n o l o g y   d o m a i n s   （ 新 的 技 术 域 ） • C o n t i n u e   t o   e x p a n d   t h e   A T T & C K   c o m m u n i t y   （ 持 续 扩 张   A T T & C K   社 区 ） • O p e n   u p   t h e   d e v e l o p m e n t   a n d   g o v e r n a n c e   o f   A T T & C K   （ 开 放   A T T & C K   的 开 发 和 管 理 ） • C r e a t e   a   n e w   w e b s i t e   a n d   i n f r a s t r u c t u r e   t h a t   m a k e s   A T T & C K   e a s i e r   t o   u s e   （ 创 建 一 个 新 的 网 站 和 基 础 设 施 ， 让   A T T & C K   变 得 更 好 用 ） 这 部 分 的 详 细 信 息 可 以 阅 读 《 I m p r o v i n g   T h r e a t   I n t e l l i n g e n c e   a n d   C y b e r   D e f e n s e   w i t h   M I T R E   A T T & C K 》 其 他 参 考 链 接 其 他 参 考 链 接 • A t o m i c   R e d   T e a m • 《 T h r e a t   D e t e c t i o n   R e p o r t   2 0 1 9 》 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 A T T & C K 矩 阵 展 示 可 行 性 分 析 矩 阵 展 示 可 行 性 分 析 我 们 假 定 读 到 这 里 的 读 者 有 沙 箱 系 统 开 发 经 验 ， 至 少 熟 悉 c u c k o o 的 整 套 流 程 。 看 着 国 外 各 种 云 沙 箱 将 A T T & C K 集 成 到 平 台 内 ， 读 者 也 许 也 在 思 考 ： 如 何 比 较 快 地 将 A T T & C K 集 成 到 自 己 正 在 为 之 工 作 的 威 胁 情 报 平 台 ？ 下 面 笔 者 来 分 析 一 种 可 行 性 思 考 过 程 。
现 状 现 状 •   目 前 国 外 主 流 沙 箱 产 品 都 已 经 增 加 对 A T T & C K 的 展 示 界 面     — H y b r i d     — J o e   S a n d b o x     — V M R A Y
    — A N Y . R U N •   目 前 国 外 主 要 威 胁 分 析 厂 商 也 都 已 在 报 告 中 加 入 A T T & C K 相 关 描 述     — F i r e E y e
    — K a s p e r s k y     — E S E T
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理