近期，MITRE公布了ATT&CK第5轮评估结果。ATT&CK在国内炒的火热，很多安全产品已经添加了ATT&CK界面。甚至部分厂商公开宣称通过了某某单位的ATT&CK评估，覆盖率如何如何。
反观MITRE的ATT&CK评估，国内厂商却没有这么高的参与度，国内似乎仅有瀚思参加过一次。（毕竟MITRE由美国空军发起，或许有可信问题？）
本文将介绍一下MITRE作为ATT&CK的发起者，它的ATT&CK评估有何不同。
评估方法论
MITRE的ATT&CK评估由紫队专家构建，围绕已知对手行为的能力的关键上下文设计。评估的整个过程由3个阶段的9个步骤构成：
一、设计
选择威胁（事件、组织、恶意软件等）；创建仿真计划；开发仿真
二、执行
访问环境；部署解决方案；进行评估
三、发布
处理结果；接收反馈；发布结果
评估标准
因为厂商之间描述信息的方式有差异，所以MITRE抽象了一个标准来衡量。MITRE定义了两类检测类型，主要分为两类：主要检测类型、修饰词（modifier）
对于 Turla 评估，主要检测类型有6种，和提供给用户的上下文量相关，修饰词则有2种：延迟、配置修改。
主要检测类型如下，能力从左往右依次递减：
技术（Technique）：指定了异常事件的ATT&CK技术（或等效上下文）
战术（Tactic）：指定了异常事件的ATT&CK战术（或等效上下文）
一般（General）：检测到异常事件，但未指定ATT&CK战术（或等效上下文）
遥测（Telemetry）：由功能收集的最低程度处理过的数据，显示发生了事件
无（None）：未检测到
不适用（N/A）：参与者在被测系统没有可见性
官方认为遥测也属于检测的一部分，不过这估计得是存储足够日志+有专业人士的前提下。
主要保护类型则比较简单，只有三类，受保护、没有、不适用
仿真对象
仿真对象：Turla(G0010)
别名：IRON HUNTER, Group 88, Belugasturgeon, Waterbug, WhiteBear, Snake, Krypton, Venomous Bear
国内代号：APT-Q-78、APT-C-29
Turla简介：
Turla是一个总部位于俄罗斯的威胁组织，自2004年以来，该组织已感染了45多个国家的受害者，涉及政府、大使馆、军事、教育、研究和制药公司等多个行业。2015年活动有所增加。Turla以开展水坑和鱼叉式网络钓鱼活动以及利用内部工具和恶意软件而闻名。Turla的间谍平台主要用于Windows机器，但也被用于macOS和Linux机器。
仿真场景
本次评估仿真的两个场景名为Carbon、Snake，主要步骤如下：
以上两个场景一共19步操作。和国内安全验证厂商倾向于在甲方客户对乙方标准产品一个个case测试不同。ATT&CK评估是从攻击者视角，按照一定逻辑开展，映射ATT&CK子技术143项。Linux是本次评估的重点，但只占评估的一小部分。除了这两个场景的检测，评估还单独评估了保护能力，一共13步，映射子技术129项。厂商也可以不参加Linux平台、保护能力的评估。
和往次评估一样，本次评估还是使用Microsoft Azure云服务进行，MITRE Engenuity说明其可视为一个本地环境，网络环境见下图：
评估使用的技术细节、工具源码、Yara规则已开源在Github，链接见文末。
厂商评估结果
本次评估有31家厂商参加，参与评估的有EDR、XDR，也有多个产品组合的解决方案（虽然有31家厂商参加，但并不是每家厂商都有结果，如Cisco，官方称是兼容性的原因）
MITRE认为ATT&CK评估不是竞争性分析，所以一直没有发布排名、分数、评级，分析和解释可以自行发布。有人的地方就有江湖，Palo Alto、Elastic就基于结果制作并公开了数据分析界面。下图是Palo Alto所做，包含延迟和配置修改情况下的检测率排名：
比较老牌的3个厂商，Carbon场景的成绩如下：
不过比较值得关注的是微软的配置，在筛选配置修改后，微软出现了明显的检测能力下降。
不单单微软，很多厂商都对配置做出了修改。下图也是Palo Alto所做，对配置修改后的检测结果数量进行了厂商排名。
MITRE提供的交互式界面是根据测试步骤、ATT&CK技术进行分类。
可以筛选场景、步骤、检测类型、厂商。
除了交互式的结果，MITRE还提供了JSON文件以及告警截图。方便解析详细数据，自行判断告警的丰富度。
Palo Alto产品界面
Cybereason产品界面
微软产品界面
总结
参考资料
-
https://github.com/center-for-threat-informed-defense/adversary_emulation_library/blob/master/turla/README.md
-
https://attackevals.mitre-engenuity.org
-
https://mitre-evals.kb.europe-west1.gcp.cloud.es.io:9243
-
https://app.powerbi.com/view?r=eyJrIjoiNWRhYzY1YjItOTAxZC00MGM5LThlNzYtOTYxNzViYzM1ZGY2IiwidCI6IjgyOTNjZmRmLThjMjQtNDY1NS1hMzA3LWVhMjFjZDNiMjJmZiIsImMiOjF9
-
https://medium.com/mitre-engenuity/making-sense-of-att-ck-evaluations-data-42ca844940b9
原文始发于微信公众号（无界信安）：浅析MITRE ATT&CK第5轮评估
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论