Wie würden Sie das MITRE-ATT&CK-Framework nutzen, um Ihre Detektionsabdeckung zu verbessern?
Kurzantwort
ATT&CK ist eine Wissensbasis realer gegnerischer Taktiken und Techniken. In einem SOC bildet man jede Detektionsregel auf die Techniken ab, die sie abdeckt, baut eine Abdeckungskarte (oft mit dem ATT&CK Navigator) und priorisiert dann das Schließen von Lücken danach, welche Techniken für das eigene Bedrohungsmodell am relevantesten sind und auf welche man keinerlei Sichtbarkeit hat.
MITRE ATT&CK ist zur gemeinsamen Sprache geworden, um über das Verhalten von Angreifern zu sprechen, daher erwarten Interviewer von einem SOC-Analysten, dass er mehr als nur den Namen kennt. Die gute Antwort verknüpft ATT&CK mit einem konkreten Workflow zur Verbesserung der Detektion.
Was ATT&CK tatsächlich ist
ATT&CK ist eine kuratierte Wissensbasis darüber, wie reale Gegner vorgehen, gegliedert in Taktiken (das Ziel des Angreifers, etwa Persistence oder Lateral Movement) und Techniken (die konkrete Art, es zu erreichen, etwa geplante Tasks oder Pass-the-Hash). Jede Technik hat Dokumentation, Detektionsideen und Verweise auf Gruppen, die sie einsetzen. Sie beschreibt Verhalten, nicht Signaturen, was sie langlebig macht, während sich Malware ändert.
Detektionen auf Techniken abbilden
Der zentrale SOC-Einsatz ist das Mapping. Für jede Detektionsregel, die Sie pflegen, taggen Sie die Technik(en), die sie abdeckt. Sind Ihre Regeln gemappt, können Sie sie über die ATT&CK-Matrix legen — der ATT&CK Navigator ist das übliche Werkzeug — und sofort sehen, welche Techniken gut abgedeckt, schwach abgedeckt oder unsichtbar sind.
Die Lücken priorisieren
Sie können nicht alles auf einmal detektieren, also priorisieren Sie. Gewichten Sie die Lücken nach Ihrem Bedrohungsmodell: Welche Techniken nutzen die Gruppen, die Ihre Branche angreifen, tatsächlich, welche treffen Ihre wertvollsten Systeme, und wo haben Sie überhaupt keine Telemetrie. Eine wahrscheinliche Lücke mit einer umsetzbaren Datenquelle zu schließen schlägt das Jagen nach einer exotischen Technik, die Sie nie sehen werden.
Auch Untersuchungen vorantreiben
ATT&CK strukturiert auch Untersuchungen: Sobald Sie eine Technik bestätigt haben, können Sie die angrenzenden Taktiken, die ein Angreifer als Nächstes versuchen würde, hypothetisieren und danach jagen.
Warum das wichtig ist
ATT&CK zu nutzen verwandelt „wir haben viele Regeln" in „hier ist unsere gemessene Abdeckung und unser Plan, sie zu verbessern". Dieser Wechsel von Aktivität zu messbaren Ergebnissen ist genau das, wonach Interviewer bei jemandem suchen, der ins Detection Engineering hineinwachsen kann.
Wahrscheinliche Anschlussfragen
- Was ist der Unterschied zwischen einer Taktik und einer Technik in ATT&CK?
- Wie würden Sie priorisieren, welche Technik-Lücken zuerst zu schließen sind?
- Was ist der ATT&CK Navigator und wie würden Sie ihn nutzen?