MITRE ATT&CK nedir?
MITRE ATT&CK, saldırganların gerçek olaylarda gözlemlenen taktik ve tekniklerini sistematik biçimde sınıflandıran, herkese açık bir bilgi tabanıdır. Savunma ekiplerinin saldırı davranışlarını ortak bir dille tanımlamasına, tespit kurallarını geliştirmesine ve korumadaki boşlukları görmesine yardımcı olur.
ATT&CK bir açık listesi değil, davranış kataloğudur. Saldırganın ne yaptığını ve hangi amaçla yaptığını anlatır; hangi yazılımda hangi açığın bulunduğunu değil.
Nasıl çalışır?
Bilgi tabanı taktikler ve tekniklerden oluşur. Taktik saldırganın amacını (örneğin ilk erişim, kalıcılık, yetki yükseltme), teknik ise bu amaca nasıl ulaştığını ifade eder. Birçok tekniğin alt teknikleri, kullanıldığı grupların ve yazılımların örnekleri ve tespit ile azaltma önerileri bulunur.
- Taktik: saldırganın hedefi
- Teknik: hedefe ulaşma yöntemi
- Alt teknik: tekniğin daha ayrıntılı varyasyonu
Matrisler kurumsal ortamlar, bulut ve mobil gibi farklı alanlar için ayrı ayrı yayımlanır.
Sunucu ve hosting ortamında
Linux sunucu ve web ortamı için de teknikler tanımlıdır: web kabuğu yerleştirme, geçerli hesapların kötüye kullanılması, zamanlanmış görev ile kalıcılık, kimlik bilgisi toplama gibi. Bu başlıklar log izleme, saldırı tespit sistemi kuralları ve olay müdahalesi çalışmalarını yapılandırmak için kullanılır.
Bir olay sonrası bulgular ATT&CK tekniklerine eşlenirse hangi aşamalarda görünürlüğün eksik olduğu da ortaya çıkar.