MITRE ATT&CK Framework Die Geheimnisse des Hacker-Profilings

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Insider Research

Das MITRE ATT&CK-Framework ist eine Datenbank mit Taktiken, Techniken und Verfahren (TTPs), die fortlaufend aktualisiert wird. Sie dient dazu, Angriffe zu klassifizieren, Ziele zu identifizieren und Vorschläge für die Erkennung und Eindämmung von Bedrohungen und Schwachstellen bereitzustellen.

Das MITRE ATT&CK-Framework konzentriert sich auf das Beobachten von Hacker-Angriffen, um häufiges Verhalten dieser Angreifer (Profiling) zu dokumentieren. Wenn neue Schwachstellen und Angriffsmethoden auftauchen, werden sie dem Framework hinzugefügt. Das Akronym ATT&CK steht für Adversarial Tactics, Techniques, and Common Knowledge und ist eine Wissensdatenbank über die von Hackern eingesetzten Taktiken und Techniken. Das MITRE ATT&CK-Framework wird weltweit als ein Standard für die Katalogisierung von Verhaltensweisen von Angreifern betrachtet.

Im Gegensatz zu anderen IT-Security-Modellen nimmt das MITRE ATT&CK-Framework die Sichtweise des Angreifers ein. Diese Perspektive hilft den Experten zu verstehen, wie Hacker sich auf Cyberangriffe vorbereiten und sie ausführen. In früheren Jahren beschränkte sich das MITRE ATT&CK-Framework auf die Erkennung von Bedrohungen. In letzter Zeit fand zudem eine Ausweitung auf Instrumente des Schwachstellen-Managements statt.

Anatomie der MITRE ATT&CK-Matrix

Das Schema enthält eine Reihe von Taktiken und Techniken, die von Hackern zur Durchführung eines Angriffs häufig verwendet werden. Jede der vier Matrizen bietet detaillierte Beschreibungen der Taktiken und Techniken der Angreifer sowie allgemeines Wissen. Ferner skizzieren sie Erkennungs- und Schadensbegrenzungsansätze sowie Beispiele für den Einsatz in der Praxis.

• Pre-ATT&CK: Viele der Aktivitäten, die Hacker unternehmen, bevor sie ein Unternehmen kompromittieren, werden außerhalb des Netzwerks der Organisation durchgeführt. Diese Taktiken und Techniken sind schwer zu erkennen. Die Pre-ATT&CK-Matrix hilft Unternehmen, die Aktivitäten außerhalb ihres Netzwerks besser zu überwachen und zu verstehen.

• Enterprise ATT&CK: Hacker können viele Maßnahmen ergreifen, um ihre Aktivitäten in einem Unternehmensnetzwerk auszuführen. Die Enterprise ATT&CK Matrix beschreibt die spezifischen Taktiken und Techniken für eine breite Palette von Plattformen, darunter Windows, macOS, Linux, Azure AD, Office 365, Google Workspace, SaaS, IaaS, Netzwerke und Container.

• Mobile ATT&CK: Die Mobile ATT&CK Matrix beschreibt die Taktiken und Techniken, die auf mobilen Geräten (iOS- und Android) durchgeführt werden. Außerdem werden Taktiken und Techniken beschrieben, die verwendet werden, wenn kein Zugriff auf das tatsächliche Mobilgerät erforderlich ist.

• ICS ATT&CK: Die MITRE ATT&CK Matrix für Industrial Control Systems (ICS) ähnelt der Enterprise ATT&CK Matrix, außer dass ihr Schwerpunkt auf den industriellen Steuerungssystemen liegt, die zur Verwaltung von Stromnetzen, Fabriken, Mühlen usw. verwendet werden.

Hacker-Taktiken der MITRE ATT&CK-Matrix

Die Matrix beschreibt eine Reihe von Techniken, die Hacker einsetzen, um bestimmte Ziele zu erreichen. Solche Ziele werden in der Matrix als Taktiken wie folgt dargestellt:

• Aufklärung: Sammeln von Informationen über die Zielorganisation zur Planung zukünftiger Angriffe.

• Entwicklung von Ressourcen: Bereitstellung von Ressourcen zur Angriffsvorbereitung.

• Erstzugriff: Angriff per Spear-Phishing etc. auf das Netzwerk des Opfers.

• Bösartiger Code ausführen: Versuch, bösartigen Code auszuführen, indem ein Fernzugriffstool verwendet wird.

• Persistenz: Angreifer versuchen über die Veränderung von Konfigurationen in einem Netzwerk Fuß zu fassen.

• Eskalation der Privilegien: Hacker erlangen Berechtigungen auf höherer Ebene, indem sie Schwachstellen ausnutzen, um Zugriffe zu erhalten.

• Zugriffe über Anmeldedaten: Diebstahl von Kontonamen und Passwörtern.

• Tarnung: In dieser Phase versuchen Hacker einer Entdeckung zu entgehen, indem sie vertrauenswürdige Prozesse nutzen, um Malware zu verbergen.

• Exploration: Hacker erkunden die Netzwerk-Umgebung, um herauszufinden, was sie unter ihre Kontrolle bringen können. Laterale Bewegungen (Wechsel der Systeme) unter Verwendung legitimer Anmelde-Informationen.

• Daten sammeln: Daten identifizieren und einsammeln, die für die Ziele des Hackers von Interesse sind, wie beispielsweise Zugriff auf Daten im Cloud-Speicher.

• Übernahme der Kontrolle: Kommunikation mit kompromittierten Systemen, um diese zu kontrollieren. Das heißt, Nachahmung des normalen Webverkehrs, um mit einem Opfernetzwerk zu kommunizieren.

• Exfiltration: Diebstahl der Daten durch Übertragung auf ein Cloud-Konto.

• Auswirkungen: Systeme und Daten werden manipuliert, unterbrochen, verschlüsselt oder zerstört.

Einsatz von MITRE ATT&CK-Matrix

ATT&CK eignet sich für die Erstellung von verschiedenen Hacker-Szenarien, um effektive Abwehrmaßnahmen zu testen bzw. zu überprüfen. Dies ermöglicht eine zuverlässige Bewertung von IT-Security-Maßnahmen. Das MITRE ATT&CK-Framework kann eine Unternehmung bei der Erkennung und Eindämmung von Bedrohungen auf unterschiedliche Art und Weise unterstützen:

• Red Teaming: Mithilfe des Red Teaming wird über hauseigene Aktionen des Hackings die Sicherheit der Systeme getestet. Auf diese Weise kann unter anderem das Team dem Management die möglichen Auswirkungen von Verstößen demonstrieren. Mit ATT&CK lassen sich Red-Team-Pläne erstellen und Security-Prozesse organisieren.

• Entwicklung von Verhaltensanalysen: Das Framework erkennt verdächtige Aktivitäten und verknüpft verschiedene Muster, um die Aktivitäten von Hackern zu studieren und zu überwachen.

• Defensive Gap Assessment: Mit dieser Methode lässt sich bestimmen, in welchen Teilen des Unternehmens es an Abwehrmaßnahmen mangelt. ATT&CK kann vorhandene Tools oder auch neue Tools vor dem Kauf testen, um den Sicherheitsumfang zu ermitteln und Investitionen zu priorisieren.

• SOC Maturity Assessment: Ähnlich wie beim Defensive Gap Assessment kann ATT&CK bestimmen, wie effektiv ein Security Operations Center (SOC) bei der Erkennung, Analyse und Reaktion auf Verstöße arbeitet.

• Cyber Threat Intelligence Enrichment: Dieser Ansatz optimiert Informationen über Bedrohungen und Angreifer. Mit ATT&CK können Unternehmen beurteilen, ob sie in der Lage sind, sich gegen bestimmte Advanced Persistent Threats (ATP) und allgemeine Verhaltensweisen mehrerer Bedrohungsakteure zu verteidigen.

Eine Implementierung von MITRE ATT&CK umfasst in der Regel auch die Integration von Security-Tools wie beispielsweise Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) und Cloud Access Security Broker (CASB).

Die Verwendung von MITRE ATT&CK mit einem SIEM umfasst die Aggregation von Protokolldaten von Endpunkten, Netzwerken und Cloud-Diensten, die Identifizierung von Bedrohungen und deren Zuordnung zu MITRE ATT&CK. Änderungen an der Sicherheitslage werden dann in den Sicherheitstools vorgenommen, die ihre Protokolldaten bereitstellen (d. h. EDR oder CASB).

MITRE ATT&CK mit EDR umfasst die Zuordnung von Ereignissen, die vom Endpunktagenten beobachtet werden, sodass Verteidiger die Phasen eines Bedrohungsereignisses bestimmen, das damit verbundene Risiko bewerten und die Reaktion priorisieren können.

MITRE ATT&CK Framework & Threat Intelligence

Eine Frage der Quellen

MITRE ATT&CK Framework & Threat Intelligence

Anwendung des MITRE ATT&CK-Frameworks

Schutz durch risikobasiertes Schwachstellen-Management

Die 25 gefährlichsten Schwachstellen laut MITRE

(ID:49944286)