Khung MITRE ATT&CK là gì?

Các tổ chức thuộc mọi quy mô đều được hưởng lợi từ việc tiếp nhận khung MITRE ATT&CK, nhưng mấu chốt là cần thực hiện theo chiến lược để tối đa hóa giá trị. Khung này là công cụ mạnh mẽ để ánh xạ hành vi của kẻ tấn công, phát triển các chiến lược bảo mật vững chắc và cải thiện hoạt động phát hiện và ứng phó mối đe dọa. Để tận dụng tối đa khung, các nhóm bảo mật cần tiếp cận việc triển khai một cách cẩn thận, tập trung tích hợp lâu dài và phù hợp với các mục tiêu của tổ chức. Để tiếp nhận thành công khung ATT&CK, hãy bắt đầu bằng cách điều chỉnh hoạt động sử dụng với hồ sơ rủi ro, mức độ hoàn thiện hoạt động bảo mật và nhu cầu hoạt động của tổ chức.

Các tổ chức vừa và nhỏ có thể bắt đầu bằng cách tập trung vào một số kỹ thuật có mức ưu tiên cao liên quan đến các mối đe dọa họ thường gặp phải. Các doanh nghiệp lớn hơn tích hợp ATT&CK vào hoạt động phát hiện mối đe dọa rộng hơn, tìm kiếm mối đe dọa trên mạng và quy trình ứng phó sự cố, tận dụng toàn bộ chiến thuật, kỹ thuật và quy trình (TTP) được mô tả trong khung. Nhóm bảo mật ánh xạ các kỹ thuật ATT&CK với các mối đe dọa đã biết từ nguồn cấp dữ liệu về mối đe dọa, giúp ưu tiên các chiến lược phòng thủ dựa trên nội dung liên quan đến môi trường của họ nhất.

Các trường hợp sử dụng và ví dụ thực tế

Nhiều tổ chức đã sử dụng khung ATT&CK để thúc đẩy các điểm cải tiến đáng kể trong hoạt động an ninh mạng của họ. Ví dụ:
 

• Một tổ chức tài chính toàn cầu đã sử dụng ATT&CK để tái thiết kế chương trình kỹ thuật phát hiện, điều chỉnh quy tắc phát hiện sao cho phù hợp với kỹ thuật thường được các tác nhân đe dọa nhắm tới lĩnh vực tài chính sử dụng.

• Một nhà cung cấp dịch vụ chăm sóc sức khỏe đã tích hợp ATT&CK vào cẩm nang tìm kiếm mối đe dọa, cho phép ứng phó nhanh hơn trước các cuộc tấn công bằng mã độc tống tiền bằng cách tập trung vào chiến thuật giai đoạn đầu như leo thang quyền truy nhập ban đầu và leo thang đặc quyền.

• Các cơ quan chính phủ đã nhúng ATT&CK vào hoạt động đội đỏ và đội xanh, sử dụng khung để hỗ trợ mô phỏng cuộc tấn công trên thực tế và kiểm tra phòng thủ đều đặn.

Các ví dụ này nêu bật khả năng thích ứng và giá trị của ATT&CK trong các bối cảnh hoạt động khác nhau.

Vượt qua những thách thức thường gặp

Quy trình tích hợp khung MITRE ATT&CK vào tổ chức có thể phức tạp. Bạn có thể gặp phải các rào cản như:
 

• Hạn chế về tài nguyên. Các nhóm nhỏ hơn có thể thiếu thời gian hoặc chuyên môn để khám phá toàn bộ khung.

• Nhu cầu đào tạo. Các phân tích viên bảo mật phải được đào tạo để hiểu và áp dụng các khái niệm ATT&CK một cách chính xác.

• Tích hợp công cụ. Tích hợp ATT&CK vào các nền tảng quản lý sự kiện và thông tin bảo mật (SIEM) và các công cụ khác có thể yêu cầu hoạt động tùy chỉnh.

Để giải quyết những thách thức này, bạn có thể:
 

• Đầu tư vào đào tạo và giáo dục cho cả nhân viên kỹ thuật và ban lãnh đạo.

• Bắt đầu từ điều nhỏ bằng cách tập trung vào một số chiến thuật và kỹ thuật liên quan đến bối cảnh mối đe dọa.

• Tận dụng tài nguyên cộng đồng và công cụ nguồn mở ánh xạ các kỹ thuật ATT&CK với xu hướng tấn công phổ biến.

Cách bắt đầu với MITRE ATT&CK

Nếu bạn mới sử dụng ATT&CK, hãy làm theo các bước cơ bản sau để bắt đầu triển khai.
 

1. Cung cấp nội dung đào tạo cho nhóm bạn. Giới thiệu ma trận ATT&CK và các khái niệm chính thông qua hội thảo hoặc phiên đào tạo.

2. Đánh giá tình hình hiện tại. Ánh xạ các sự cố bảo mật hoặc báo cáo mối đe dọa gần đây với các kỹ thuật ATT&CK để xác định lỗ hổng trong hoạt động phát hiện.

3. Sắp xếp các kỹ thuật theo thứ tự ưu tiên. Tập trung vào các kỹ thuật có khả năng tác động nhiều nhất đến môi trường của bạn, dựa trên thông tin về mối đe dọa theo từng ngành.

4. Xây dựng quy tắc phát hiện. Sử dụng ATT&CK làm kim chỉ nam để phát triển hoặc tinh chỉnh các quy tắc SIEM, lô-gic cảnh báo và dữ liệu phân tích.

5. Đo lường tiến độ. Theo dõi phạm vi của các kỹ thuật ATT&CK và điều chỉnh các điểm cải tiến sao cho phù hợp với mục tiêu bảo mật.

Mẹo tích hợp khung vào hoạt động bảo mật của bạn

Tích hợp ATT&CK vào các hoạt động hiện có không yêu cầu đại tu hoàn toàn. Dưới đây là một số mẹo:
 

• Ánh xạ cảnh báo đến kỹ thuật ATT&CK. Thao tác này giúp các phân tích viên nhanh chóng nắm được giai đoạn mà họ đang xử lý trong vòng đời của cuộc tấn công.

• Tích hợp khung vào hoạt động tìm kiếm mối đe dọa. Dùng ATT&CK làm kim chỉ nam cho hoạt động điều tra chủ động, tập trung vào các hành vi tấn công phổ biến.

• Sử dụng giải pháp hiện có. Nếu có thể, hãy sử dụng giải pháp Phát hiện điểm cuối và phản hồi (EDR) hiện có của bạn để hỗ trợ tích hợp khung MITRE ATT&CK. Các giải pháp EDR được thiết kế riêng để giám sát, phát hiện và ứng phó với các mối đe dọa điểm cuối, tức là phù hợp với mục tiêu của ATT&CK nhằm hiểu và phòng thủ trước các chiến thuật, kỹ thuật và quy trình (TTP) mà kẻ tấn công sử dụng.

• Nhúng vào kế hoạch ứng phó sự cố. Tham khảo ATT&CK khi phân tích sự cố để hiểu mức độ tiến triển của kẻ tấn công và điểm cần cải thiện trong hoạt động phát hiện hoặc ứng phó.

• Cộng tác giữa các nhóm. Sử dụng ATT&CK làm ngôn ngữ chung giữa thông tin về mối đe dọa, SOC, đội đỏ và đội xanh.

Bằng cách làm theo các phương pháp tối ưu này, bạn có thể tích hợp khung MITRE ATT&CK vào hệ sinh thái bảo mật của mình theo cách có ý nghĩa và bền vững, giúp tạo nên các biện pháp phòng thủ mạnh mẽ hơn và các quyết định bảo mật sáng suốt hơn.