استفاده از تکنیک‌های MITRE ATT&CK برای شکار تهدید – بخش اول

MITRE ATT&CK یک چارچوب Open Source متشکل از تاکتیک‌ها و تکنیک‌های مهاجمین است که براساس مشاهدات در دنیای واقعی ایجاد شده است. ATT&CK یک طبقه‌بندی مشترک را از اهداف تاکتیکی مهاجمین و روش‌های آن‌ها ایجاد می‌نماید.  داشتن یک طبقه‌بندی به‌خودی‌خود کاربردهای ارزشمند زیادی دارد، مثل فراهم کردن واژگان مشترک برای تبادل اطلاعات با دیگران در حوزه‌ی امنیت. اما این طبقه‌بندی یک چارچوب فنی واقعی را نیز برای دسته‌بندی تلاش‌های افراد در شناسایی نفوذ و شکاف‌های امنیتی ارائه می‌دهد تا افراد دید بهتری به برخی از رفتارهای حمله‌ای پیدا کنند.

این مقاله ATT&CK و ابزار و منابع مرتبط به را آن را معرفی می‌کند. سپس در مورد نحوه‌ی استفاده‌ی کاربردی از ATT&CK با تمرکز روی شکار تهدید و شناسایی صحبت خواهد شد.

 MITRE ATT&CK چیست؟

در این بخش ساختار ATT&CK، تاکتیک‌ها و تکنیک‌های تشکیل‌دهنده‌ی آن، مثال‌ها، نحوه‌ی رفع خطر و شناسایی شرح داده می‌شود.

استفاده از MITRE ATT&CK

پس از یک شرح کلی از انواعی مختلفی از موارد کاربردATT&CK ، روی استفاده از ATT&CK برای کارهای زیر تمرکز خواهد شد:

• انجام تجزیه‌و‌تحلیل شکاف در مورد رفتار مخربی که در حال مانیتور شدن است
• بهبود تلاش‌های شناسایی و شکار تهدید
• تست کردن قواعد شناسایی برای اطمینان حاصل کردن از آمادگی و آگاهی

شناسایی و شکار تهدید با پنج تکنیک متداول

در بخش انتهایی پنج تکنیک به‌خصوص از ATT&CK مورد بررسی قرار می‌گیرند که برمبنای میزان شیوع و معیارهای دیگری انتخاب شده‌اند که آن‌ها را به‌طور خاص برای شناسایی و شکار تهدید کاربردی می‌کند.  هر یک از این تکنیک‌ها عمیقاً مورد بررسی قرار خواهد گرفت و نحوه‌ی استفاده از آن‌ها توسط مهاجمین و روش لازم برای شناسایی آن معرفی خواهد شد. در این مورد بحث می‌شود که جمع‌آوری کدام Logها ضروری است، کدام Policy ممیزی باید فعال‌سازی گردد و در هر Log باید دنبال چه چیزی بود. ATT&CK یک رویکرد نرمال و ساختارمند برای طبقه‌بندی و توصیف روش‌هایی است که مهاجمین برای حمله به سیستم‌ها مورداستفاده قرار می‌دهند. ATT&CK در سطح بالایی شروع می‌شود و چارچوب مناسبی از مفاهیم و روابط را برای درک روش‌های حمله ارائه می‌دهد. اما ATT&CK با اطلاعات فنی بسیار دقیق و به‌روز که در موارد کاربرد متفاوتی قابل‌اعمال هستند، از بحث نظری فراتر می‌رود. ATT&CK هر روش را توصیف کرده و راه‌هایی پیشنهادی را برای اصلاح وضعیت و شناسایی حمله فراهم می‌کند.

بررسی تاکتیک‌ها و تکنیک‌های تشکیل‌دهنده MITRE ATT&CK

تاکتیک‌ها

بالاترین سطح از سازمان‌دهی در ATT&CK تاکتیک‌ها هستند.  هدف استراتژیک یک مهاجم می‌تواند باج‌گیری، سرقت اطلاعات یا صرفاً نابودی محیط IT یک سازمان باشد.  اما مهاجمین باید به اهداف کوتاه‌مدت و تدریجی دست پیدا کنند تا نهایتاً به هدف اصلی خود برسند.  اکثر مهاجمین با تلاش برای دستیابی به دسترسی اولیه (TA0001) کار را شروع می‌کنند. سپس تاکتیک‌های اساسی دیگری ازجمله اجرا (TA0002) و تداوم (TA0003)، فارغ از هدف نهایی حمله، اهداف میانی ضروری هستند. مهاجمی که سعی دارد اطلاعات را به سرقت ببرد باید جمع‌آوری (TA0009) و نهایتاً استخراج (TA0010) را نیز انجام دهد. ممکن است مهاجمین از تاکتیک‌های دیگری نیز برای رسیدن به هدف خود استفاده کنند، مثلاً پریدن از یک سیستم به سیستم دیگری یا از یک اکانت به اکانت دیگری از طریق حرکت جانبی (TA0008) یا تلاش برای مخفی شدن از مانیتورینگ با استفاده از تاکتیک فرار از دفاع (TA005).

اما مهم است درک شود که تاکتیک‌ها یک دسته‌بندی هستند و یک هدف کوتاه‌مدت را توصیف می‌کنند. تاکتیک‌ها می‌گویند که مهاجم در هر مرحله از حمله سعی دارد چه کاری انجام دهد، نه اینکه دقیقاً چطور قرار است این کار را انجام دهد.

جدول زیر تاکتیک‌هایی را شرح می‌دهد که در حال حاضر ATT&CK را تشکیل داده‌اند.

جدول ۱. تاکتیک‌های MITRE ATT&CK

تکنیک‌ها

درحالی‌که تاکتیک‌ها مشخص می‌کنند مهاجم قصد چه کاری را دارد، تکنیک‌ها راه‌های مختلفی را توصیف می‌کنند که مهاجم با استفاده از آن‌ها یک تاکتیک خاص را اجرا می‌کند. مثلاً مهاجمین معمولاً می‌خواهند پس از Sessionهای Reboot و Logon، حضور خود را در شبکه‌ها حفظ کنند. این تاکتیک‌ TA0003: تداوم است. تداوم  اما از راه‌های مختلفی می‌توان به این تداوم دست پیدا کرد.  مثلاً روی سیستم‌های ویندوز، می‌توان از Keyهای به‌خصوصی در Registry بهره گرفت که مقادیر آن‌ها به‌عنوان دستورات سیستم در ارتباط با رخدادهای قابل پیش‌بینی مثل استارت سیستم یا Logon اجرا می‌شوند (که تکنیکی به نام Registry     Run Keys/Startup Folder است). یا به‌سادگی می‌توان با استفاده از تکنیک T1050: New Service برنامه‌ی مخرب را به‌عنوان یک سرویس سیستم نصب کرد. تکنیک دیگری به نام T1103: AppInit  DLLs راهی است برای اینکه هر فرایندی که user32.dll را لود می‌کند، DLL مخرب را نیز لود نماید. تکنیک‌های زیاد دیگری وجود دارند و در آینده نیز تکنیک‌هایی ایجاد خواهند شد، اما همگی آن‌ها نیازمند این هستند که به مهاجم دسترسی متداومی به سیستم یا شبکه قربانی داده شود. در نتیجه، همگی این موارد در گروه تاکتیک‌ یکسانی قرار می‌گیرند.

درحالی‌که تاکتیک‌ها مشخص می‌کنند مهاجم قصد چه کاری را دارد، تکنیک‌ها راه‌های مختلفی را توصیف می‌کنند که مهاجم با استفاده از آن‌ها یک تاکتیک خاص را اجرا می‌کند.

برخی از تکنیک‌ها به بیش از یک تاکتیک‌ کمک می‌کنند و این امر در ATT&CK مشخص‌شده است. مثلاً T1050: New Service  در طبقه‌ی دو تاکتیک‌ قرار دارد: تداوم و بالا بردن سطح دسترسی.

برای هر تکنیک، ATT&CK پلتفرم‌های کاربردی (مثل ویندوز یا لینوکس)، اجازه‌های موردنیاز برای Exploit کردن تکنیک، منابع داده برای شناسایی تکنیک‌ها (مثلاً Logها) را فهرست می‌کند و به هر الگوی حمله‌ی مرتبط در CAPEC که کاتالوگ مرتبطی از الگوهای حمله‌ی متداول متمرکز بر امنیت برنامه کاربردی است، ارجاع متقابل می‌دهد.

مثال‌ها

برای هر تکنیک، ATT&CK مثال‌هایی را از موارد شناخته شده ارائه می‌دهد که تکنیک:

• توسط یک گروه در یک یا چند حمله استفاده شده بود (گروه یک واژه‌ی به‌خصوص در ATT&CK است که در ادامه تعریف خواهد شد).
• توسط نرم‌افزار به کار گرفته شده بود (نرم‌افزار یک واژه‌ی به‌خصوص در ATT&CK است که در ادامه تعریف خواهد شد).

برای هر مثال ارجاعاتی ارائه شده است. این ارجاعات معمولاً پست‌ها یا هشدارهای تهدیدآمیز از تیم‌های تحلیلگران امنیتی مختلفی در جامعه‌ی امنیت سایبری هستند. ارزش این مثال‌ها فراتر از توجیه کردن قرارگیری این تکنیک در ATT&CK است. مثلاً متخصصان امنیت سایبری می‌توانند از آن‌ها استفاده کنند تا متوجه شوند که مهاجمین چگونه کار می‌کنند و چگونه تکنیک‌ها و تاکتیک‌‌های در یک کمپین بزرگ، مختلفی را با هم ترکیب می‌کنند.

اصلاح

برای هر تکنیک، ATT&CK کنترل‌های پیشگیرانه‌ای را مشخص می‌کند که مدافعان می‌توانند از آن‌ها استفاده کنند. چنین اصلاحاتی برای برخی از تکنیک‌ها عملی نیستند و ATT&CK به این موارد اشاره می‌کند.  مثلاً در مورد T1055: Process  Injection، بخش اصلاحات در ATT&CK اشاره می‌کند که:

این نوع از تکنیک حمله را نمی‌توان به‌سادگی با کنترل‌های پیشگیرانه اصلاح کرد، زیرا برمبنای سوءاستفاده از ویژگی‌های طراحی سیستم عامل ساخته شده است. مثلاً، اصلاح تماس‌های (Callهای Windows API) به‌خصوص، احتمالاً عوارض جانبی ناخواسته‌ای خواهد داشت، مثلاً اینکه نرم‌افزار‌های قانونی (مثلاً محصولات امنیتی) نتوانند به‌درستی عمل کنند.  باید روی این امر تمرکز شود که ابزار مهاجم نتوانند زودتر در زنجیره‌ی فعالیت‌ها اجرا شوند و همچنین باید روی شناسایی رفتارهای مخرب بعدی تمرکز گردد.

MITRE گروه را به‌عنوان مجموعه‌ای از فعالیت‌های نفوذی مرتبط تعریف می‌کند که در جامعه‌ی امنیت، با یک نام واحد ردیابی می‌شوند.

MITRE نرم‌افزار را به‌عنوان یک عبارت کلی تعریف می‌کند که برای کدهای سفارشی یا تجاری، ابزار سیستم عامل، نرم‌افزارهای متن باز یا ابزار دیگری که برای رفتارهایی که در ATT&CK مدل‌سازی شده‌اند استفاده می‌شوند.

شناسایی

پیشگیری از اینکه مهاجمین از تکنیک‌های خود استفاده کنند، امری حیاتی است.  پیاده‌سازی کنترل‌هایی برای شناسایی نیز مهم هستند زیرا ۱) دفاع عمقی نیازمند سیستم‌های دفاعی چندلایه درمقابل هر تهدیدی است و ۲) همانطور که قبلاً اشاره شد، نمی‌توان از تمام تکنیک‌ها پیشگیری نمود. در نتیجه، ATT&CK راهنمایی‌های گسترده‌ای را در مورد نحوه‌ی شناسایی استفاده از تکنیک‌ها توسط مهاجمین با Logها و منابع دیگر تجزیه‌و‌تحلیل امنیتی فراهم می‌کند.

ATT&CK به‌روز است

مهاجمین و مدافعین دائماً به یکدیگر پاسخ می‌دهند و این یعنی در هر طرف، کاری که امروز جواب می‌دهد، شاید فردا جواب ندهد. MITRE با جامعه‌ی مدافعان کار می‌کند تا ATT&CK را نسبت به چشم‌انداز تهدیدات به‌روز نگه دارد. به‌عنوان یک مثال، اخیراً یک تاکتیک‌ کاملاً جدید به ATT&CK اضافه شد. این تاکتیک‌ در زمان افزایش ناگهانی حملات مخربی اضافه شد که مشهورترین آن‌ها Not Petya بود. TA0040: Impact تاکتیک تاثیرگذاری متشکل از ۱۴ تکنیک مختلف است که هدف اصلی آن‌ها کاهش مستقیم دسترس‌پذیری یا یکپارچگی یک سیستم، سرویس یا شبکه است که این امر شامل دستکاری داده‌ها برای تاثیرگذاری روی کسب‌و‌کار یا فرایند عملیاتی می‌باشد.