MITRE ATT&CK Framework & Threat Intelligence Anwendung des MITRE ATT&CK-Frameworks

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

TXOne Networks

Das MITRE ATT&CK-Framework hat sich mittlerweile zu einem etablierten Werkzeug für Sicherheitsteams entwickelt, mit dem die Sicherheitslage der eigenen Organisation im Hinblick auf bestimmte Angreifer und Angriffsmethoden bewertet werden kann. Mit MITRE ATT&CK können Teams auf die Threat Intelligence der ständig aktualisierten Wissensbasis zugreifen, um die eigene Situation besser einzuschätzen und somit sicherzustellen, dass keine kritischen Elemente eines Angriffs übersehen werden.

Schon Sun Tzu, der chinesische General und Philosoph aus dem fünften Jahrhundert v. Chr., wusste, dass Wissen Macht ist und hielt dies in seinem vielzitierten Werk „Kunst des Krieges“ folgendermaßen fest: „Wenn du dich und den Feind kennst, brauchst du den Ausgang von hundert Schlachten nicht zu fürchten.“ Diese Weisheit des Militärstrategen findet nicht nur auf realen Schlachtfeldern Anwendung, sondern auch auf den digitalen Frontlinien des Cyberraums. Spätestens seit dem Auftauchen der ersten echten Malware vor ca. 25 Jahren (z.B. ‚Melissa‘ und ‚ILOVEYOU‘), wurde klar, dass Kriminelle in den Weiten des World Wide Webs lauern. Dennoch nutzt es nichts, den Kopf in den Sand zu stecken und sich seinem Schicksal zu ergeben. Stattdessen gilt es, sich den Bedrohungen zu stellen und proaktiv zu werden, wenn es um die eigene Sicherheit geht. Das neue Stichwort lautet Antizipation, und das MITRE ATT&CK Framework kann dabei helfen, diesen Ansatz umzusetzen.

MITRE ATT&CK Framework & Threat Intelligence

Eine Frage der Quellen

Umsetzung mithilfe einer Threat Intelligence-Plattform

Zu den Anfangsschwierigkeiten vieler IT-Teams bei der Einführung des MITRE ATT&CK-Frameworks gehört die schier überwältigende Anzahl an verschiedenen Techniken und Anwendungsfällen, die einem zur Verfügung gestellt werden. Um sich in Anbetracht der Vielzahl an Möglichkeiten nicht damit aufzuhalten, sich den Kopf über die Implementierung zu zerbrechen, sollte man sich zunächst auf einige wenige Anwendungsfälle konzentrieren. Um die relevanten Einsatzmöglichkeiten auszumachen gilt es, die eigene Lage zu analysieren und Schwerpunkte zu setzen bezüglich konkreter Daten, die für das eigene Unternehmen von Relevanz sind. Was hierbei eine enorme Hilfe sein kann, ist eine dedizierte Threat Intelligence-Plattform (TIP). Eine solche Plattform aggregiert automatisch Threat Intelligence und unterstützt dabei, diejenigen Daten und Informationsströme zu identifizieren und zu priorisieren, die für den jeweiligen Nutzer am wichtigsten sind.

Im Folgenden sollen zwei Use Cases vorgestellt werden, in denen eine TIP Sicherheitsteams dabei hilft, den größtmöglichen Nutzen aus dem MITRE ATT&CK-Framework zu ziehen. Die Rede ist hierbei von zwei Pfeilern der modernen IT-Sicherheit: die Analyse von Incidents und die Jagd nach und Aufklärung von Bedrohungen, das so genannte Threat Hunting.

Analyse von Incidents

Bei der Analyse von Incidents ist es von entscheidender Bedeutung, neben der Untersuchung der vor Ort gesammelten Informationen auch über den Tellerrand hinauszublicken. Um die größeren Zusammenhänge eines Angriffs zu verstehen und einschätzen zu können, wie und warum es zu der Attacke gekommen ist, muss der jeweilige Vorfall in Bezug zum individuellen Risikoprofil einer Organisation sowie zur globalen Lage in der Cybersphäre gesetzt werden.

Hier kommt MITRE ATT&CK ins Spiel: Die während der internen Analyse gesammelten Daten können mithilfe des Frameworks mit aktuellen Angriffskampagnen und Bedrohungsakteuren verglichen und verbunden werden, wodurch der Vorfall Kontext erhält und somit besser verstanden werden kann, warum gerade die eigene Organisation angegriffen wurde und ob es vielleicht zu weiteren Vorfällen kommen könnte. Sicherheitsanalysten können die Daten des Frameworks als detaillierte Referenzquelle nutzen, um ihre Analyse von Ereignissen und Alerts anzureichern, ihre Untersuchungen zu unterstützen und die besten Maßnahmen in Abhängigkeit von Relevanz und Vorkommnissen in der jeweiligen Umgebung zu bestimmen.

Da die manuelle Datenanreicherung allerdings fehleranfällig, zeitaufwändig und mühsam ist, kann eine TIP hier Abhilfe schaffen und das Sicherheitsteam entlasten. Durch das automatisierte Sammeln und Aggregieren von Daten aus dem MITRE ATT&CK-Framework sparen die Sicherheitsexperten Zeit, die dann für übergeordnete Aufgaben und Analysen freigestellt wird. Zudem stellt eine solche Lösung sicher, dass bei der Zusammenführung der Threat Intelligence keine wichtigen Informationen übersehen werden.

Threat Hunting

Ein relativ neuer, allerdings überaus wichtiger Ansatz im Kampf gegen Cyberbedrohungen ist das Threat Hunting. In diesem Bereich arbeiten spezialisierte Sicherheitsexperten mit Threat Intelligence, um proaktiv auf Jagd nach Cybergefahren zu gehen. Sie stellen anhand der gesammelten Informationen Hypothesen auf, mithilfe derer sie Bedrohungen suchen und aufklären und so zur Sicherheit der IT und Netzwerke der Organisation beitragen. Auch hier kann eine TIP wichtige Arbeit leisten, um Prozesse zu beschleunigen und zu vereinfachen.

Nach der anfänglichen Analyse eines Vorfalls können Threat Hunting-Teams von der Suche nach so genannten Indicators of Compromise (IoCs) dazu übergehen, die gesamte Bandbreite der ATT&CK-Daten zu nutzen. Anstatt sich auf einzelne verdächtige Datenpunkte zu konzentrieren, können Threat Hunter die Plattform nutzen, um von einem übergeordneten Blickwinkel aus mit detaillierten Informationen über potenzielle und tatsächliche Angreifer und deren Methoden zu arbeiten. Das Sicherheitsteam kann auf diese Weise einen proaktiveren Ansatz verfolgen, bei dem zunächst das Risikoprofil des Unternehmens ermittelt wird. Die individuellen Risiken können dann bestimmten Angreifern und deren Taktiken zugeordnet werden, was es den Threat Huntern dann ermöglicht genauer zu prüfen, ob in der zu untersuchenden Umgebung entsprechende Daten identifiziert wurden.

Fazit

Der Nutzen des MITRE ATT&CK-Frameworks hängt nicht zuletzt davon ab, ob es effektiv implementiert wird und ob Sicherheitsverantwortliche die Möglichkeit haben, die Daten auf einfache Art und Weise zu aggregieren und zu analysieren. Unternehmen können das Framework nur dann sinnvoll einsetzen, wenn sie die relevanten Anwendungsfälle und die individuelle Sicherheitslage ihrer Organisation richtig einschätzen und verstehen können. Um dies zu erleichtern existieren Technologien wie Threat Intelligence-Plattformen, die in der Lage sind, Security Operations-Teams auf allen Ebenen ihrer Arbeit zu unterstützen. Diese Lösungen ermöglichen es tiefer in das MITRE ATT&CK-Framework vorzudringen und dadurch dessen Effektivität zu optimieren und einen wesentlich größeren Nutzen aus der Wissensdatenbank zu ziehen.

Über den Autor: Markus Auer ist Regional Sales Manager Central Europe bei ThreatQuotient.

(ID:47408830)