O que é "MITRE" que você ouve frequentemente na comunidade de segurança? Um engenheiro vai responder

"Ah, é aquele cara da Matrix, não é?"
"Aquele com o ID de vulnerabilidade?"

Sim, ambos estão corretos!
Mas quando perguntam "O que é MITRE?", você não fica inesperadamente sem palavras?

Na verdade, o MITRE é extremamente importante como uma "linguagem comum" para SOC (Centro de Operações de Segurança) e pessoal de operações de segurança como nós.

Neste artigo, explicaremos a verdadeira natureza do "MITRE" e por que ele é necessário para a operação do ponto de vista do engenheiro.

 

**O que é MITRE afinal? **

Em conclusão, a MITRE (The MITRE Corporation) é uma organização sem fins lucrativos americana.

Ela administra uma organização de pesquisa e desenvolvimento apoiada pelo governo (FFRDC) que realiza pesquisas em uma ampla gama de áreas de interesse público, incluindo sistemas de aviação e saúde, bem como segurança.
Em outras palavras, não é uma empresa com fins lucrativos, mas a imagem de um "instituto de pesquisa para melhorar o mundo".

Eles são famosos na indústria de segurança porque "padronizam e sistematizam informações sobre ciberataques".

 

Os "CVEs" mais comuns também são gerenciados pela MITRE

Existe um ID como "CVE-2023-XXXX" que você sempre vê quando olha informações de vulnerabilidade, certo?
Na verdade, é o MITRE que gerencia e opera esses CVEs (Vulnerabilidades e Exposições Comuns).

Graças ao fato de podermos chamar a informação de "Há um bug neste software!" com o mesmo ID ao redor do mundo, conseguimos compartilhar informações sem confusão.

 

**O que é MITRE ATT&CK? **

Agora, vamos ao assunto principal.
Quando SOCs e pessoal de operações dizem "MITRE", provavelmente estão se referindo a este "MITRE ATT&CK (Táticas, Técnicas e Conhecimento Comum para Adversários)".

Isso significa um catálogo de táticas e técnicas que os atacantes realmente utilizam.

Se o atacante usar

1. Acesso inicial (como entrar)

2. Execução (como mover código malicioso)

3. Persistência (como se manter sentado)
   ...
   Dessa forma, para cada fase do ataque (tática), os métodos específicos (técnicas) são organizados em uma tabela matricial.

    

**Por que ATT&CK é importante? **

Há um ditado: "Se você conhece seu inimigo e se conhece, não estará em perigo", mas ATT&CK é realmente um "guia para o modus operandi do inimigo".

Ao ter isso, nós, responsáveis pelas operações, temos os seguintes benefícios.

1. Veja o quadro completo do ataque
   Se for apenas um alerta isolado, acaba com "um vírus encontrado", mas se você aplicar isso ao ATT&CK, "Esta é a fase de 'expansão lateral' após a invasão. Você pode imaginar a história do ataque.

2. Fale uma língua comum
   Se você disser "Há um traço de execução usando o T1059 (interface de linha de comando) da ATT&CK" em vez de "Houve algum movimento suspeito", os especialistas vão transmitir isso sem mal-entendidos.

3. Lacunas na defesa são encontradas
   Pode ser usado para verificar omissões em contramedidas, como "Nosso produto de contramedidas é forte contra essa tática, mas é indefeso contra essa tática."

    

Preocupações Reais nas Operações

No entanto, .......
"Eu entendo o raciocínio, mas é difícil realmente usar!"
Não é verdade?

Como você pode ver pela matriz de ATT&CK, os itens são enormes.
Acho que a maioria dos sites está cheia de respostas diárias de alerta, mas eles não têm recursos suficientes para mapear e analisar cada método de ataque para ATT&CK.

"Quero criar regras de detecção baseadas no MITRE ATT&CK, mas preciso de muita expertise."
"Há alertas demais e não tenho tempo para analisar qual fase do ataque é."

Acho que consigo ouvir esses gritos. (Na verdade, ouço muito, e entendo dolorosamente...)

MITRE e ATT&CK são armas poderosas, mas exigem certa habilidade e tempo para dominar.
Seria uma boa ideia começar entendendo quais fases do ataque estamos respondendo ou não conseguimos responder.

 

Conclusão

• MITRE é uma organização americana sem fins lucrativos que gerencia CVEs e outras organizações.
• MITRE ATT&CK é uma "enciclopédia" que sistematiza os métodos dos atacantes.
• Quando usado em operação, você pode ver o quadro geral do ataque, mas é bastante difícil dominá-lo.
• Quando você está passando por dificuldades, é uma escolha inteligente confiar em um serviço profissional de SOC!

Compreender a MITRE é o primeiro passo para levar suas operações de segurança ao próximo nível.
Esperamos que isso ajude você a analisar o estado atual do seu ambiente de segurança!