ATT&CK

Adversarial Tactics, Techniques, and Common Knowledge (zkráceně ATT&CK) je báze znalostí a rámec ke klasifikaci a popisu kybernetických incidentů (zejména kybernetických útoků a průniků). Byla vytvořena v roce 2013 společností Mitre Corporation.

Namísto toho aby útoky identifikoval podle jejich indikátorů kompromitace (IOCs), tak zkoumá spíše konkrétní chování a taktiky útočníků, případně vektory útoku.

Tento rámec se skládá ze 14 kategorií, které pokrývají technické cíle útočníka. Příkladem cílů může být elevace oprávnění, nebo zřízení C2 serveru. Tyto kategorie se pak dále dělí na specifické techniky.

Je alternativou k Cyber kill chain, vyvinutému ve společnosti Lockheed Martin.

Historie

Společnost Mitre Corporation zveřejnila ATT&CK v roce 2013 na základě předešlého experimentu Fort Meade. Během tohoto experimentu výzkumníci simulovali chování kyberkriminálníků a také obránců, snažících se po incidentu situaci napravit pomocí telemetrie a behaviorální analýzy. Tuto bázi znalostí se pak rozhodli zveřejnit, aby tak zpřesnili popis chování útočníků v kyberprostoru.

Použití

Používá se celosvětově a to v různých disciplínách jako jsou detekce průniku, threat hunting, návrh kyberbezpečnostních opatření, threat intelligence, red teaming a řízení rizik.

Umožňuje zmapovat chování útočníka v různých fázích útoku, od prvotních přístupu až k dopadům.

Podniková matice ATT&CK

Matice ATT&CK pro podnikové systémy je reprezentována diagramem ve stylu tabulky kanban. Definuje 14 kategorií taktik, technik a procedur (TTP) používaných útočníky. Ke každé kategorii pak definuje další její techniky a sub-techniky.

Kategorie TTP	Popis	Techniky
Reconnaissance	Sběr informací o cíli.	10
Resource Development	Identifikace a získání zdrojů nutných ke provedení útoku.	8
Initial Access	Navázání prvotního přístupu k informačnímu systému nebo síti.	10
Execution	Spuštění škodlivého kódu na cílovém systému.	14
Persistence	Udržení přístupu k danému systému nebo síti.	20
Privilege Escalation	Zisk zvýšených práv v daném systému nebo síti.	14
Defense Evasion	Deaktivace nebo obejití ochranných opatření.	43
Credential Access	Zisk přístupových údajů k danému systému nebo datům.	17
Discovery	Identifikace dalších systémů nebo informací v napadené síti.	32
Lateral Movement	Pohyb po systémech v rámci napadené sítě.	9
Collection	Sběr dat z napadených systémů.	10
Command and Control	Navázání komunikace s napadenými systémy.	17
Exfiltration	Přenos ukradených dat z napadených systémů.	9
Impact	Dokončení všech akcí nutných k dosažení útočníkova cíle.	14

Domény

MITRE ATT&CK obsahuje tři domény:

• ATT&CK Enterprise, zaměřený na detekci škodlivých aktivit ve Windows, Mac, Linuxu i Cloudových systémech.
• ATT&CK Mobile, zaměřený na vyhodnocování škodlivých aktivit v systémech Android a iOS.
• ATT&CK for ICS, zaměřený na vyhodnocování škodlivých aktivit v průmyslové řídicí síti. (PLC a SCADA systémy).

Reference

V tomto článku byly použity překlady textů z článků ATT&CK na anglické Wikipedii a ATT&CK na francouzské Wikipedii.

Externí odkazy

• Oficiální stránky rámce ATT&CK (anglicky)