什麼是 MITRE ATT&CK 框架?

各種規模的組織都能從採用 MITRE ATT&CK 框架中獲益，但戰略性地進行採用是最大化其價值的關鍵。此框架是描繪敵人行為、制定健全安全策略以及改善威脅檢測和回應的強大工具。為了充分善用此框架，安全團隊需要以深思熟慮的方式進行執行動作，並著重於長期整合並符合組織目標。成功採用 ATT&CK 框架的首要動作是將其使用與組織的風險概況、安全成熟度和作業需求保持一致。

中小型組織可以先從著重於幾個與他們面臨的常見威脅相關的高優先順序技術開始。大型企業將 ATT&CK 整合到更廣泛的威脅偵測、網路威脅搜捕 和事件回應工作流程、利用框架中所述的完整戰術、技術和程序 (TTPs)。安全團隊將 ATT&CK 技術對應到威脅情報摘要中的已知威脅，協助依據與其環境最相關的內容優先設定防禦策略。

實際的例子和使用案例

許多組織已經使用 ATT&CK 框架來推動其網路安全作業中的可衡量改善。例如：
 

• 一家全球金融機構使用 ATT&CK 重新設計其偵測工程計劃，將偵測規則與針對金融行業的威脅行為者經常使用的技術保持一致。

• 醫療保健提供者將 ATT&CK 整合到其威脅搜捕劇本中之後，藉由著重於早期階段策略像是初始存取權和權限提升等，可以更快速地回應勒索軟體攻擊。

• 政府機構已將 ATT&CK 嵌入其紅隊和藍隊演練中，利用該框架支援實際的攻擊模擬和一致的防禦測試。

這些例子突顯了 ATT&CK 在各種作業環境中的適應能力和價值。

克服常見挑戰

將 MITRE ATT&CK 框架整合到貴組織中可能是一個複雜的過程。您可能會面臨一些障礙，例如:
 

• 資源限制。較小的團隊可能缺少時間或專業知識來探索完整框架。

• 訓練需求。安全分析師必須接受培訓，以正確瞭解和運用 ATT&CK 概念。

• 工具整合。將 ATT&CK 納入 安全性資訊和事件管理 (SIEM) 平台且其他工具可能需要自訂。

為了解決這些挑戰，您可以:
 

• 針對技術人員和領導層的 訓練和教育方面投資。

• 透過著重於一些與威脅情況相關的戰術和技術，從小處開始。

• 運用社群資源 和開放來源工具，將 ATT&CK 技術與常見的攻擊模式進行比對。

如何開始使用 MITRE ATT&CK

如果您是第一次使用 ATT&CK，請遵循這些基本步驟來開始執行。
 

1. 為您的團隊提供訓練。通過工作坊或培訓課程介紹 ATT&CK 矩陣和關鍵概念。

2. 評估您目前的狀態。將最近的安全事件或威脅報告對應到 ATT&CK 技術，以識別偵測中的漏洞。

3. 排定技術的優先順序。根據產業特定的威脅情報，著重於最有可能影響您環境的技術。

4. 建立偵測規則。使用 ATT&CK 作為指南，制定或微調 SIEM 規則、警示邏輯和分析。

5. 測量進度。追蹤您對 ATT&CK 技術的覆蓋範圍，並將改善之處與安全目標保持一致。

將框架整合到您的安全作業中的提示

將 ATT&CK 整合到現有作業中不需要全面徹底修改。以下是一些提示:
 

• 將警示對應到 ATT&CK 技術。這有助於分析人員快速瞭解他們正在處理的攻擊生命週期階段。

• 將其納入威脅搜捕。使用 ATT&CK 來引導主動式調查，著重於常見的攻擊者行為。

• 使用現有的解決方案。可能的話，請使用您現有的端點偵測和回應 (EDR) 解決方案來支援 MITRE ATT&CK 框架的整合。EDR 解決方案是專為監控、偵測和回應端點威脅所設計，這與 ATT&CK 的目標非常一致，可瞭解和防禦敵人所使用的戰術、技術和程序 (TTPs)。

• 內嵌於事件回應計劃中。在分析事件時參照 ATT&CK 以瞭解攻擊者的進展和偵測或回應可以改善的地方。

• 跨團隊共同作業。使用 ATT&CK 作為威脅情報、安全性作業中心、紅隊和藍隊功能之間的共用語言。

透過遵循這些最佳作法，您可以以有意義和永續方式將 MITRE ATT&CK 框架整合到您的安全生態系統中，產生更強大的防禦和更明智的安全決策。