Adversarial Tactics, Techniques, and Common Knowledge (zkráceně ATT&CK) je báze znalostí a rámec ke klasifikaci a popisu kybernetických incidentů (zejména kybernetických útoků a průniků). Byla vytvořena v roce 2013 společností Mitre Corporation.
Namísto toho aby útoky identifikoval podle jejich indikátorů kompromitace (IOCs), tak zkoumá spíše konkrétní chování a taktiky útočníků, případně vektory útoku.
Tento rámec se skládá ze 14 kategorií, které pokrývají technické cíle útočníka. Příkladem cílů může být elevace oprávnění, nebo zřízení C2 serveru. Tyto kategorie se pak dále dělí na specifické techniky.
Je alternativou k Cyber kill chain, vyvinutému ve společnosti Lockheed Martin.
Historie Společnost Mitre Corporation zveřejnila ATT&CK v roce 2013 na základě předešlého experimentu Fort Meade. Během tohoto experimentu výzkumníci simulovali chování kyberkriminálníků a také obránců, snažících se po incidentu situaci napravit pomocí telemetrie a behaviorální analýzy. Tuto bázi znalostí se pak rozhodli zveřejnit, aby tak zpřesnili popis chování útočníků v kyberprostoru.
Použití Používá se celosvětově a to v různých disciplínách jako jsou detekce průniku, threat hunting, návrh kyberbezpečnostních opatření, threat intelligence, red teaming a řízení rizik.
Umožňuje zmapovat chování útočníka v různých fázích útoku, od prvotních přístupu až k dopadům.
Podniková matice ATT&CK Matice ATT&CK pro podnikové systémy je reprezentována diagramem ve stylu tabulky kanban. Definuje 14 kategorií taktik, technik a procedur (TTP) používaných útočníky. Ke každé kategorii pak definuje další její techniky a sub-techniky. +Kategorie TTPPopisTechnikyReconnaissanceSběr informací o cíli.10Resource DevelopmentIdentifikace a získání zdrojů nutných ke provedení útoku.8Initial AccessNavázání prvotního přístupu k informačnímu systému nebo síti.10ExecutionSpuštění škodlivého kódu na cílovém systému.14PersistenceUdržení přístupu k danému systému nebo síti.20Privilege EscalationZisk zvýšených práv v daném systému nebo síti.14Defense EvasionDeaktivace nebo obejití ochranných opatření.43Credential AccessZisk přístupových údajů k danému systému nebo datům.17DiscoveryIdentifikace dalších systémů nebo informací v napadené síti.32Lateral MovementPohyb po systémech v rámci napadené sítě.9CollectionSběr dat z napadených systémů.10Command and ControlNavázání komunikace s napadenými systémy.17ExfiltrationPřenos ukradených dat z napadených systémů.9ImpactDokončení všech akcí nutných k dosažení útočníkova cíle.14
Domény MITRE ATT&CK obsahuje tři domény:
ATT&CK Enterprise, zaměřený na detekci škodlivých aktivit ve Windows, Mac, Linuxu i Cloudových systémech. ATT&CK Mobile, zaměřený na vyhodnocování škodlivých aktivit v systémech Android a iOS. ATT&CK for ICS, zaměřený na vyhodnocování škodlivých aktivit v průmyslové řídicí síti. (PLC a SCADA systémy).
Reference
Externí odkazy
Oficiální stránky rámce ATT&CK (anglicky)
Kategorie:Klasifikační systémy Kategorie:Standardy počítačové bezpečnosti Kategorie:Vzniklo 2013