网络杀伤链与 MITRE ATT&CK

每天，成千上万的人都会遇到网络安全问题。这些风险正在稳步增加，忽视它们可能会给您的企业带来代价高昂的错误。虽然完全消除风险是不可能的，但使用有效的防御技术可以大大减少影响。

有助于应对针对组织的网络攻击的两个关键框架是网络杀伤链和 MITRE ATT&CK 框架。两者有具体的区别，特别是在安全运营中心 (SOC) 中如何利用它们进行威胁检测和响应。

了解网络杀伤链

洛克希德·马丁公司于 2011 年开发的“网络杀伤链”概述了网络攻击的各个阶段，并提供了理解和预防此类攻击的路线图。该框架包括攻击者完成攻击所经历的七个阶段：

1. 侦察：收集有关目标的信息。

2. 武器化：创建恶意负载。

3. 投送：将武器传送至目标。

4. 利用：触发有效载荷来利用漏洞。

5. 安装：在目标系统上安装恶意软件。

6. 指挥和控制（C2）：建立远程控制通信。

7. 针对目标的行动：执行攻击者的目标，例如数据盗窃。

网络杀伤链可帮助组织了解攻击者的攻击方式并确定他们可能存在漏洞的位置。通过将攻击分解为各个阶段，组织可以采取主动措施来阻止或阻止每个阶段的攻击。

探索 MITRE ATT&CK 框架

MITRE ATT&CK 框架是一个基于对网络攻击的实际观察的对手战术、技术和程序 (TTP) 知识库。它由 MITRE 公司开发，分为多个矩阵，每个矩阵代表一个特定的平台或领域，例如 Windows、Linux、macOS、移动设备、Office 365 和 SaaS。

在每个矩阵中，有几种策略概述了攻击者的目标，其中包括：

1. 初始访问：进入目标系统。

2. 执行：在系统上运行恶意代码。

3. 持久性：维持对系统的访问。

4. 权限提升：获得更高级别的权限。

5. 防御逃避：避免被发现。

6. 凭证访问：窃取账户凭证。

7. 发现：识别有关目标环境的信息。

8. 横向移动：在网络内移动。

9. 收集：收集有关攻击者目标的信息。

10. 指挥和控制：建立沟通渠道。

11. 窃取：从目标窃取数据。

12. 影响：扰乱、摧毁或以其他方式影响目标系统。

MITRE ATT&CK 框架的全面和最新知识库是一个显著的优势。它允许组织看到攻击者可能使用的所有可能的攻击载体，从而帮助改善其安全态势。

网络杀伤链与 MITRE ATT&CK：主要区别

尽管有些人认为网络杀伤链和 MITRE ATT&CK 框架是相互竞争的模型，但它们更多的是互补而非冲突。结合这两个框架的各个方面，可以让组织更好地了解其安全状况以及应该将精力集中在哪些方面。

范围和细节：

• 网络杀伤链：专注于攻击的高级阶段，提供理解和阻止攻击的路线图。

• MITRE ATT&CK：提供具体策略和技术的详细分类，提供对于检测和应对特定威胁非常有价值的细致视图。

灵活性和适应性：

• 网络杀伤链：更线性和严格，遵循特定的阶段顺序。这可能会受到限制，因为现代网络攻击通常不遵循可预测的模式。

• MITRE ATT&CK：高度灵活，可适应不同的攻击场景，从而可以更细致地了解攻击各个阶段的攻击者行为。

检测与响应：

• 网络杀伤链：适用于初始检测和响应计划。它有助于在每个阶段实施安全控制以阻止攻击。

• MITRE ATT&CK：通过提供有关攻击者策略和技术的详细见解来增强检测和响应，从而实现精准有效的响应。

与威胁情报的整合：

• 网络杀伤链：对于构建一般防御策略很有用，但在整合详细威胁情报方面效果较差。

• MITRE ATT&CK：促进威胁情报的整合，帮助通过详细的背景信息预测和应对新出现的威胁。

结论：哪个更好？

网络杀伤链和 MITRE ATT&CK 都是 SOC 团队的宝贵工具。网络杀伤链提供了一种理解和破坏攻击的直接方法，使其成为构建分层防御策略的良好起点。另一方面，MITRE ATT&CK 提供了更详细和灵活的模型，增强了威胁检测和响应能力。

原文始发于微信公众号（KK安全说）：网络杀伤链与 MITRE ATT&CK