A MITRE ATT&CK é um modelo criado pela MITRE para documentar e rastrear diversas técnicas usadas pelos invasores nos diferentes estágios de um ataque cibernético para se infiltrar em uma rede e exfiltrar dados.
ATT&CK significa: Adversarial Tactics, Techniques, and Common Knowledge (em português: Táticas, Técnicas e Conhecimento Comum sobre os Adversários). A estrutura é uma matriz de diferentes técnicas de ataque cibernético classificadas por diferentes táticas. Existem diferentes matrizes para sistemas Windows, Linux, Mac e dispositivos móveis.
Desde sua criação em 2013, a ATT&CK tornou-se um dos recursos mais respeitados e referenciados em segurança cibernética, formando uma base de conhecimento de técnicas de hacking que podem ser usadas para defender redes contra ameaças à segurança cibernética. Conhecer a ATT&CK é entender seu inimigo.
Use o menu abaixo para ir para a seção mais relevante
- MITRE ATT&CK x Cyber Kill Chain
- Matrizes
- Táticas e técnicas
- Usos e benefícios
- Melhores práticas
- Desafios
- Atualizações e recursos
MITRE ATT&CK vs Cyber Kill Chain
Em termos gerais, ambos os sistemas seguem o mesmo padrão — entre, não seja pego, roube coisas. A principal diferença é que a matriz ATT&CK é mais uma lista técnica e não propõe uma ordem específica de operações.
A Cyber Kill Chain, por outro lado, é uma sequência bem definida de eventos: o Red Team (termo de teste para invasores) passa do reconhecimento para a intrusão e assim por diante, seguindo uma ordem definida. Entretanto, o Red Team utiliza técnicas e táticas de ATT&CK em diferentes momentos do cenário, dependendo da situação. Um cenário ATT&CK poderia começar com uma adição de hardware da tática de acesso inicial, depois pular para Ignorar o controle de conta de usuário da tática de escalonamento de privilégios e voltar para a tática de execução para iniciar o PowerShell.
O ATT&CK define as seguintes táticas usadas em um ataque cibernético:
- Acesso inicial
- Execução
- Persistência
- Escalação de privilégios
- Evasão de defesa
- Acesso a credenciais
- Descoberta
- Movimento lateral
- Coleção
- Exfiltração
- Comando e controle
A Cyber Kill Chain é um pouco mais curta:
- Reconhecimento
- Intrusão
- Exploração
- Escalação de privilégios
- Movimento lateral
- Ofuscação/Anti-forense
- Negação de serviço
- Exfiltração
Matrizes MITRE ATT&CK
O ATT&CK é uma matriz de técnicas de hacking baseado em táticas. Se você quiser saber como o Red Team fica escondido durante uma infiltração, dê uma olhada na categoria Evasão de Defesa, escolha uma das técnicas dessa coluna e clique no link para obter mais informações.
Existem várias matrizes diferentes:
- A matriz PRE-ATT&CK inclui técnicas usadas para reconhecimento, identificação de alvos e planejamento de ataque
- O Windows inclui técnicas usadas para hackear todos os tipos de Windows
- O Linux inclui técnicas usadas para hackear todos os tipos de Linux
- O MacOS inclui técnicas usadas para hackear o MacOS
- A matriz Mobile ATT&CK inclui técnicas usadas para atacar dispositivos móveis
A matriz Enterprise ATT&CK é um superconjunto das matrizes Windows, MacOS e Linux. No momento em que esse arquivo foi escrito, haviam 245 técnicas no modelo Empresarial. O MITRE atualiza regularmente o ATT&CK com as melhores e mais recentes técnicas de hacking que hackers e pesquisadores de segurança descobrem no mundo.
Táticas e Técnicas para MITRE ATT&CK
O MITRE chama a categoria de nível superior de “táticas”. Cada coluna de uma tática inclui uma lista de “técnicas” que visam alcançar essa tática.
Para melhor utilizar o ATT&CK, o Red Team desenvolve uma estratégia para unir várias técnicas de diferentes colunas para testar as defesas de seu alvo. O Blue Team (termo pentest para Defensores) precisa entender as táticas e técnicas para contrariar a estratégia do Red Team.
É um jogo de xadrez, mas as peças são técnicas ATT&CK em vez de cavalos e bispos. Cada lado precisa fazer movimentos específicos, contra-atacar, construir uma defesa e antecipar as próximas técnicas em jogo.
Por exemplo, uma estratégia do Red Team pode ser semelhante à lista mostrada abaixo.
Clicar em qualquer um dos links para as técnicas abaixo leva a uma página com uma breve explicação da técnica, uma lista de programas, por exemplo, juntamente com dicas de mitigação e detecção:
- O Red Team infecta o alvo com malware usando replicação por meio de mídia removível
- Com o malware instalado, os invasores têm acesso a um computador na rede e usam o PowerShell para procurar contas privilegiadas
- Quando o Red Team encontrar um alvo de conta privilegiada, ele usa uma Exploração para Escalação de privilégios para ter acesso à conta
- Com acesso a uma conta privilegiada, o invasor usa o Remote Desktop Protocol para acessar outras máquinas na rede e encontrar dados para roubar
- O Red Team coleta e exflitra dados de volta à base. Ele poderia usar a compactação de dados para coletar os arquivos confidenciais e, em seguida, passar os dados de volta para casa usando uma técnica de exfiltração por protocolo alternativo
Para lidar com o cenário de exemplo, o Blue Team precisa ser capaz de detectar o acesso a arquivos em um dispositivo de mídia removível ou detectar o malware que o invasor implantou. É preciso detectar a execução do PowerShell e saber que não é apenas um administrador fazendo um trabalho regular. O Blue Team também precisa detectar o acesso da conta privilegiada roubada, dados confidenciais e exfiltração. Estas técnicas são difíceis de detectar e correlacionar na maioria dos sistemas de monitorização.
O Red Team geralmente sai vitorioso, como os hackers reais.
Usos do MITRE ATT&CK
Já discutimos como o Red Team usa técnicas ATT&CK para planejar um cenário para testar as defesas da rede, mas de que outra forma é possível usar a ATT&CK?
- Use a ATT&CK para planejar sua estratégia de segurança cibernética. Construa uma defesa para combater técnicas conhecidas e equipe seu monitoramento para detectar evidências de técnicas ATT&CK na rede
- A ATT&CK é referência para equipes de Resposta a Incidentes (RI). Sua equipe de RI pode usar a ATT&CK para determinar a natureza das ameaças enfrentadas e os métodos para mitigá-las
- Sua equipe de RI pode usar a ATT&CK como referência para novas ameaças à segurança cibernética e planejar com maior antecedência
- A ATT&CK pode ajudar a avaliar a estratégia geral de segurança cibernética da empresa e preencher quaisquer lacunas descobertas
Benefícios da ATT&CK para as Red Teams
Outro excelente recurso para o Red Team no repositório ATT&CK é o Group Directory, uma lista de grupos de hackers conhecidos, juntamente com uma lista das ferramentas e técnicas que eles usam para se infiltrar em seus alvos.
Por exemplo, a entrada do grupo Rancor lista as técnicas que eles usaram em seus ataques: interface de linha de comando, cópia remota de arquivos etc. Ao lado de cada técnica, há uma breve descrição de como o grupo usou cada uma delas e também uma lista de softwares utilizados — certutil, DDKONG, PLAINTEE e Reg.
Com o Group Directory, as Red Teams têm tudo o que precisam para criar dezenas e cenários diferentes do mundo real para as Blue Teams combaterem.
Melhores práticas MITRE ATT&CK
Aqui estão alguns pontos a serem considerados ao usar o ATT&CK como parte dos planos gerais de segurança de dados:
- Use o software e cenários do mundo real da lista de Grupos. Se você não consegue se proteger contra ameaças conhecidas, não há como impedir as ameaças desconhecidas
- Socialize e compartilhe técnicas ATT&CK como uma linguagem comum para suas equipes de segurança
- Identifique lacunas nas defesas com as matrizes ATT&CK e implemente soluções para essas lacunas
- Nunca presuma que, como você pode se defender contra uma técnica de uma forma, você não será prejudicado por uma implementação diferente dessa técnica. Só porque o seu antivírus detecta o “Mimikatz”, não presuma que ele também irá detectar o “tnykttns” ou qualquer outra variante do Mimikats que surgir.
Desafios ao usar a ATT&CK
- Nem todo comportamento que corresponda a uma técnica ATT&CK é malicioso. A exclusão de arquivos, por exemplo, é uma técnica listada em Evasão de Defesa — o que faz total sentido. Mas como você pode distinguir exclusões normais de arquivos das tentativas de um invasor de evitar a detecção?
- Da mesma forma, algumas técnicas ATT&CK são difíceis de detectar. Os ataques de força bruta são bastante fáceis de detectar se você souber o que procurar. A exfiltração por protocolo alternativo, como um túnel DNS, pode ser bastante difícil, mesmo se você estiver procurando por ela. A capacidade de descobrir técnicas difíceis de detectar é fundamental para uma estratégia de segurança de dados de longo prazo.
A MITRE ATT&CK hoje
A ATT&CK é um dos recursos mais completos e definitivos de técnicas hackers disponíveis atualmente. Os profissionais de segurança falam cada vez mais sobre técnicas de ataque cibernético em termos de ATT&CK, e estão construindo defesas e escolhendo software baseado nos modelos.
Atualizações para a ATT&CK
A MITRE faz atualizações regulares na ATT&CK, acompanhe seu blog para obter as últimas notícias.
Mais recentemente, a MITRE lançou um processo de certificação de software. As empresas de software podem ser certificadas pela MITRE com base na sua capacidade de detectar técnicas ATT&CK.
Projetos e recursos da ATT&CK
A MITRE e outros desenvolvedores terceirizados usam a ATT&CK para ajudar as Red e Blue Teams a implementar seus esforços de defesa e pentesting:
- Caldera é a ferramenta de emulação de técnica de fixação automatizada da MITRE
- Cascade é o conjunto de ferramentas Blue Team da MITRE
- Attack Navigator é um aplicativo da web que pode ser usado para fazer anotações e rastrear seu status ATT&CK
- Oilrig é o Manual do Adversário de Palo Alto baseado no modelo ATT&CK
- O Repositório de Análise Cibernética da MITRE é um projeto separado da ATT&CK que rastreia informações detalhadas sobre como detectar técnicas
A Varonis detecta diversas técnicas ATT&CK e ataques cibernéticos em sua rede — incluindo Pass the Hash, Pass the Ticket e ataques de força bruta. Os modelos de ameaças da Varonis usam a mesma linguagem da ATT&CK para que a organização possa consultar facilmente ambos os recursos quando precisam pesquisar ataques cibernéticos.
Entre em contato e agende uma sessão de demonstração para tirar dúvidas e entender se a Varonis é adequada para suas necessidades.
