MITRE ATT&CK.

Un linguaggio comune per descrivere il comportamento degli attaccanti

MITRE ATT&CK riorienta la threat intelligence intorno al comportamento anziché agli indicatori. Invece di catalogare gli indirizzi IP o gli hash dei file osservati in una singola campagna, che cambiano di continuo, cataloga ciò che gli avversari fanno davvero una volta dentro un ambiente: come ottengono l'accesso iniziale, scalano i privilegi, si muovono lateralmente, eludono le difese ed esfiltrano dati. Ciascuno di questi comportamenti è catturato come una tecnica dotata di un identificatore stabile, e le tecniche sono raggruppate sotto tattiche che descrivono l'obiettivo dell'attaccante a ogni passaggio. Il risultato è una mappa strutturata e basata sull'evidenza del manuale di gioco avversario, tratta da intrusioni reali osservate anziché dalla teoria.

Il framework è organizzato come una matrice. Le colonne sono le tattiche, il perché dietro un passaggio, e le celle sotto ciascuna colonna sono le tecniche e le sotto-tecniche, il come. Matrici separate coprono gli ambienti Enterprise, mobile e i sistemi di controllo industriale, perché il comportamento avversario differisce a seconda di quei terreni. Poiché gli identificatori delle tecniche sono stabili e pubblici, diventano un riferimento comune che un analista di threat intelligence, un ingegnere SOC che scrive rilevamenti e un membro di un red team che pianifica un esercizio possono tutti citare senza ambiguità. Quel vocabolario condiviso è il superpotere silenzioso di ATT&CK: consente a team che non si parlano mai di descrivere lo stesso attacco nello stesso modo.

Tattiche, tecniche e procedure

Il modello TTP è al cuore di ATT&CK e conviene tenere distinti i tre livelli. Le tattiche sono gli obiettivi dell'avversario, le finalità ampie come ottenere un punto d'appoggio o mantenere la persistenza. Le tecniche sono i metodi generali usati per raggiungere una tattica, e molte tecniche si suddividono ulteriormente in sotto-tecniche che descrivono una variante più specifica. Le procedure sono le implementazioni concrete, osservate nel mondo reale, che un gruppo particolare ha usato per realizzare una tecnica. Risalire quella scala, dalla procedura alla tecnica alla tattica, è ciò che trasforma un cumulo di artefatti di incidente in uno schema contro cui ci si può difendere.

La ragione per cui i professionisti apprezzano questa struttura è che le difese costruite a livello di tecnica sopravvivono più a lungo di quelle basate sugli indicatori. Un attaccante può cambiare un dominio malevolo o ricompilare un payload in pochi minuti, sconfiggendo il blocco basato sulle firme, ma modificare la tecnica sottostante richiede più sforzo e spesso più abilità. I rilevamenti ancorati alle tecniche invecchiano quindi più lentamente e catturano varianti che la prima firma non ha mai visto.

Come i team mettono ATT&CK al lavoro

La difesa informata dalle minacce è la pratica che ATT&CK abilita, e si manifesta in tutta la funzione di sicurezza. I team SOC etichettano le regole di rilevamento con identificatori di tecniche così da vedere, a colpo d'occhio, quali comportamenti avversari riescono a individuare e quali sfuggono loro. Quell'analisi delle lacune, spesso visualizzata come una mappa di calore sulla matrice, indirizza dove va il prossimo sforzo di rilevamento.

I red team e i purple team usano la matrice per progettare e valutare esercizi, attraversando deliberatamente le tecniche per verificare se il blue team le nota. I team di threat intelligence descrivono i gruppi avversari in termini ATT&CK così che i report siano comparabili anziché prosa su misura. E i programmi di formazione vi si appoggiano perché offre agli analisti un modello unico e ben documentato del comportamento degli attaccanti da apprendere, anziché mille racconti di guerra slegati.

ATT&CK è pubblicato apertamente, gratuito da usare e aggiornato di continuo man mano che si osserva nuovo comportamento avversario, ed è il motivo per cui è diventato il riferimento di fatto anziché un framework di un fornitore tra molti. Si abbina naturalmente ai cataloghi di controlli e ai sistemi di gestione: dove ISO/IEC 27001, il NIST Cybersecurity Framework o i CIS Controls ti dicono quali capacità di protezione e rilevamento costruire, ATT&CK ti dice quali comportamenti avversari quelle capacità devono affrontare, ed è sempre più usato per prioritizzare e validare quel lavoro.