MITRE ATT&CK 框架“入坑”指南

作者：安全牛
2019年10月09日
数据安全

MITRE ATT&CK 框架是打造检测与响应项目的流行框架。这玩意有没有用不确定，但是你绝对承担不起不会用的风险

ATT&CK 是今年国内安全行业的一个备受瞩目的火热概念，很多组织和厂商发布了文章阐释各自对于它的理解，甚至连不少甲方单位也开始关心起 ATT&CK，不仅向安全厂商咨询其在这方面的研究成果，似乎也有意将其当做衡量厂商产品能力的一个维度——安全圈一时间颇有些 “平生不识此概念，纵做安全也枉然” 的氛围。
为了方便读者活学活用ATT&CK框架，安全牛去年编译整理了这个“入坑”指南（本次配合MITRE官方发布的工控系统知识库，进行了内容更新和微信发布），助您快速跳进ATT&CK的“大坑”，打造一个能快速检测、响应和减缓漏洞安全风险的，新一代高效能安全防御体系。

围绕检测与响应打造新一代高效能安全防御体系

缓解安全漏洞很难。攻击者只需要抓住一个漏洞（小鸡）就能侵入网络，防御者却得保证所有信息资产（小鸡）的安全。所以越来越多得安全项目将资源投向检测与响应：检测黑客何时出现在自家网络中，然后高效响应恶意动作，收集证据，缓解风险。

如何围绕检测与响应打造高效能安全项目/体系？MITRE ATT&CK 框架就是答案之一。ATT&CK 是组织机构内不同部门间共享信息、协同工作和构建必要检测与响应流程的统一分类方法。
近年来MITRE ATT&CK 框架的采纳率持续上升，是因为该框架理顺了攻击者渗透网络、入侵主机、提升权限、隐秘移动和渗漏数据的攻击链。运用 MITRE ATT&CK 中的攻击者行为通用分类，可以帮助网络事件响应团队 (CIRT)、安全运营中心 (SOC)、红蓝队、威胁猎手、IT 部门等安全团队，更好地测试、开发和排序其检测和响应机制，对公司的业务、行业和知识产权提供高效安全保障。

MITRE ATT&CK 的分类有点复杂（上图），学起来可能会有点儿挫败感。里面信息量太大，很容易陷入分析迷局。此处列出的建议和指南将帮您快速上马ATT&CK 项目。

如何理解 MITRE ATT&CK框架

1月7日新鲜出炉的ATT&CK工控系统知识库（MITER ATT＆CK for ICS Matrix™）
攻击的战术、技术和流程（TTP）以表格形式汇总到 MITRE ATT&CK Enterprise Matrix知识库。GitHub 上的 ATT&CK Navigator （https://mitre-attack.github.io/attack-navigator/enterprise/）提供了探索此ATT&CK知识库的导航器，可以生成漂亮的定制化的蓝队“彩虹图”（下图）

• “战术” (Tactics) 是列标题名，是攻击者为什么使用特定技术的概括性分类。
• “技术” (Techniques) 出现在战术列标题下的每个框中，显示攻击者为完成战术都做了什么。ATT&CK 矩阵为每种技术都分配了一个编号，比如 T1500 或 T1191。
• “流程” (Procedures) 可通过技术框中的链接访问，显示攻击者是如何执行某种技术的。流程提供了攻击者（无论单干还是组团）实施具体技术的更详尽说明。

MITRE ATT&CK 之所以有效，是因为所有战术、技术和流程 (TTP) 都基于现实世界中观察到的真实攻击团伙所为。很多攻击团伙都用相同的技术，就好像攻击团伙有自己的战术手册，还用此战术手册让新成员快速上手似的。

如果你看过上面这个检测响应的“痛苦金字塔”，就会理解 TTP 下的入侵指标 (IOC) 和攻击指标 (IOA) 跟基于特征码的方法区别不大。无论针对 TTP 的哪一层，都是在跟攻击者的工具对抗。攻击者可能需要修改配置文件或重新编译工具，以便规避 TTP 痛苦金字塔的底层：工具、网络/主机痕迹、域名、IP 地址、文件散列值。

以上都不是难点，“痛苦指数”最高的是检测攻击者 TTP，就是他们的行为。这可就难得多了，因为理解和检测攻击者将会如何提权，跟查找散列值与 Mimikatz 内存凭证转储工具相同的文件，可是大不一样的。后一种情况下，攻击者仅需稍微改动点儿随机内容，重新编译工具，就能改变工具的散列值，绕过基于特征码的检测。

但是，如果查找被提升成管理员权限的账户，攻击者就很难规避和隐藏了。这会迫使攻击者改变其攻击行为。照着黑客攻击手册来的初级黑客自然是很难改变攻击行为的；他们没有足够的技术“即兴”创新一种新的提权手段。因此，当检测方法能够针对攻击行为的时候，攻击者就会“去别家”尝试攻击战术手册了。

这就是 MITRE ATT&CK 的基本前提。研究并分析过往攻击者每个攻击阶段所用的 TTP：

初始访问–>执行–>驻留–>提权–>防御规避–>凭证获取–>探索发现–>横向移动–>收集信息–>渗漏–>命令与控制

向下展开每个技术的流程，更好地理解不同攻击团伙是怎么执行此技术的。然后用此知识对自身网络中活跃攻击者的行为，构建监视和检测措施。

如何实现 MITRE ATT&CK

听起来似乎简单，但 MITRE ATT&CK 框架中有 291 种技术，还会随着新技术的推出和人工智能与机器学习系统的部署而不断扩张。从哪里下手？如何排序、构建和管理所开发的检测？了解自身，是很多安全项目中的第一步。

“知己知彼，百战不殆。不知彼而知己，一胜一负。不知彼不知己，每战必败。”——孙子，《孙子兵法》

知己（威胁建模）

先得了解公司的业务驱动力、业务运营方式、盈利流向、资产（按重要程度排序）、知识产权 (IP) 和驱动业务及企业的内部系统。理解这些企业资产、数据、IP 或系统若被入侵，会对业务造成什么影响。另外，认真考虑如果访问企业资产的钥匙落入外部攻击者手中，他们想要些什么。哪些东西是他们的目标？为什么？
知道哪些东西重要，哪些东西可能被攻击者盯上后，就可以圈定攻击者可能使用哪些技术来入手公司最宝贵的资产了。

拣选要检测的技术

这 291 种技术中很多都能应用到公司高价值资产、系统和 IP 上。该怎样拣选要先检测的技术？
看看 MITRE ATT&CK 矩阵就会注意到，从左到右的组织结构是按时间顺序关联攻击者最终渗漏数据或命令与控制 (C2) 服务器的步骤顺序。最左端是初始访问，代表攻击者侵入公司网络的开始。

矩阵中一路向右，攻击者逐步进展，按需求使用右边的技术。从左往右开始构建检测是行不通的，因为攻击者可能已经身处您的网络之中。抽签儿似的随机挑种技术也不可行。
要先识别最有可能威胁到自家公司敏感数据、系统和资产的技术。

确认攻击难度

将范围从 291 种攻击技术缩小到适用于自家公司的寥寥几种当然不错，但该如何进一步收窄呢？
MITRE ATT&CK 框架采用率不断上升，实现者分享信息的意愿也在增加，随之而来的就是可用开源/公共资源的增长。比如说，Tripwire 的 Travis Smith 就在 ATT&CKCon 大会上做了题为“ATT&CK as a Teacher”的演讲，将 ATT&CK 矩阵按漏洞利用难度加以组织。此颜色标识图例就是基于下面这张按难度等级从上到下排列的图表。

图源：Travis Smith，Tripwire
表明攻击难度的颜色标识

这是应用了难度颜色分级标识的 ATT&CK Navigator。

图源：Travis Smith，Tripwire
应用到 ATT&CK Navigator 的颜色标识

基于团队成员的技术集进一步收窄列表以构建检测后，还可以再行削减。剩下的检测候选中含有构建检测的基础数据源。如果公司没有相关数据源锁定攻击技术，那么为此攻击技术编写检测程序就没那么简单了。

查阅数据源

每种攻击技术的流程都有与之相关的数据源。以 T1214 为例：

图源：Abraham Kang T1214 数据源

最终决定要检测哪种技术时，要确保具备检测该技术的恰当数据源。事情开始变得复杂的地方就在这里了。以上面的“注册表中凭据”(Credentials in Registry) 为例，您看到的数据源有“Windows 注册表”(Windows Registry)、“进程命令行参数” (Process command-line parameters) 和进程监视 (process monitoring)。

下面的幻灯片源自 Rodriguez 兄弟 Roberto 和 Jose 的演讲“Hunters ATT&CKing with the Data”。据两兄弟所言，可以通过观察自家环境中不同 ATT&CK 技术的通用数据源，来排序想要实现的基于攻击技术的检测。