做网络安全竟然不了解ATT&CK?这篇文章的介绍详细到令人尖叫!

发布网友 发布时间：2024-10-20 19:14

我来回答

共1个回答

热心网友 时间：2024-11-14 03:48

在网络安全领域，防守方始终处于被动地位，面对无限的安全威胁，使用有限的资源进行防御。图1展示了防守方的困境：如何判断防御方案的有效性，是否能检测到APT攻击，新产品能否发挥作用，安全工具是否重叠，以及如何确定安全防御的优先级。直到MITRE ATT&CK的出现，这些问题才有了可能的回答。自2015年发布以来，MITRE ATT&CK迅速被全球安全厂商和信息安全团队采用，成为近年来信息安全领域最有用和最急需的框架。它提供了一种标准化方法，用于开发、组织和使用威胁情报防御策略，实现企业、行业人员和安全厂商之间的沟通和交流。

MITRE ATT&CK框架由MITRE公司开发，该公司是一个非营利性组织，为美国*提供系统工程、研究开发和信息技术支持。MITRE曾参与许多机密项目，如FAA空中交通管制系统和AWACS机载雷达系统的开发。MITRE在网络安全领域的实践包括发起CVE（Common Vulnerabilities and Exposures）项目和维护CWE（Common Weakness Enumeration）安全漏洞词典。ATT&CK框架基于真实攻击事件创建，提供丰富的实战信息，包括特定和通用技术，以及知名攻击组织及其活动的背景信息和攻击战术。该框架具有基于真实数据创建、全球可访问、为蓝方和红队提供通用语言、社区驱动发展的特点。

MITRE ATT&CK框架的核心是基于威胁建模，涵盖了攻击者在攻击过程中的180多项技术、360多项子技术。这些技术描述了攻击者通过执行动作实现战术目标的方式，以及获取“内容”的手段。框架由一系列技术领域组成，包括传统企业网络和云技术、移动通信设备、工业控制系统等。每个技术领域包括多个平台，如操作系统或应用程序，攻击者可在这些平台上执行动作。

在Enterprise ATT&CK框架的初期，MITRE专注于攻击者入侵系统后的行为，对应Kill Chain中从漏洞利用到维持的阶段。然而，由于仅涵盖攻击者入侵成功后的行为，这在一定程度上*了Enterprise ATT&CK的能力。因此，MITRE在2018年将PRE ATT&CK集成到Enterprise ATT&CK版本中，引入了“启动”和“威胁应对”战术。经过筛选，将PRE ATT&CK中的侦察和资源开发战术整合到Enterprise ATT&CK中，形成了侦察和资源开发两个新战术。

Enterprise ATT&CK和ICS（工业控制系统）ATT&CK框架分别涵盖了企业网络、云环境、网络基础设施设备以及工业控制系统攻击技术。此外，MITRE还创建了ATT&CK容器矩阵，用于描述攻击者在容器安全领域的战术和技术，以帮助企业更好地进行风险评估和防范安全隐患。

MITRE ATT&CK框架的成功在于其核心概念：保持攻击者的视角，提供实践证明和抽象提炼。这使得框架能够从其他安全模型中脱颖而出，为防守方提供准确的参考框架和攻击行为与防御对策的联系。通过关注攻击者的行为和技术，MITRE ATT&CK框架使得防守方能够追踪了解攻击动机，并分析特定防御策略在环境中与攻击行为之间的关系。

MITRE ATT&CK框架为网络安全领域提供了一个全面、实用的框架，帮助防守方更好地理解攻击者的行为，评估防御策略的覆盖范围，并优化资源分配以应对安全威胁。通过深入研究和应用MITRE ATT&CK框架，企业可以提高自身的防御能力，更好地应对不断变化的安全挑战。