干货满满 | 聊一聊ATT&CK在沙箱类产物的应用
宣布时间 2019-11-08ATT&CK可以说是2019年网络宁静行业的热门议题之一。
ATT&CK ，全称是Adversarial Tactics, Techniques, and Common Knowledges。A是Adversarial ，体现攻击者、对手；两个T分別是Tactics和Technical ，即战术和技术；CK是Common knowledge ，通用知识库。
ATT&CK提供了一种使用威胁建模知识库的方式 ，为真实世界中攻击者的战术及技术、已知组织及恶意工具使用到的攻击手段找到对应的要领。它有双层含义：一方面它是基于现实世界视察的对手战术与技术通用知识库 ，另一方面其自己也是“攻击”的含义 ，表明这个模型是以攻击者视角创建的。
在ATT&CK泛起之前 ，就已经泛起了钻石模型、Kill Chain模型等著名的攻击模型 ，但这些模型太抽象化 ，无法和实际攻击相对应。因此 ，2013年 ，MITRE公司在其内部FMX项目基础上孵化出了ATT&CK项目 ，并于2015年果然宣布了第一版ATT&CK框架。ATT&CK可以说是在Kill Chain模型基础上演变出来的更细粒度、更易共享、加强版知识框架。
目前 ，ATT&CK模型总共分为三个部门 ，分别为PRE-ATT&CK、ATT&CK for Enterprise和ATT&CK for Mobile。其中PRE-ATT&CK主要是攻击者进行攻击准备时的技术或战术 ，笼罩Kill Chain模型的前两个阶段；ATT&CK for Enterprise主要是Windows、Linux、MacOS ，AWS ，GCP ，Azure ，Azure AD ，Office 365 ，SaaS等平台的266项攻击技术 ，笼罩Kill Chain模型的后五个阶段。
一、ATT&CK的应用场景
ATT&CK中用途最广泛的模型是ATT&CK for Enterprise ，主要包罗12种战术 ，即初始访问、执行、持久化、特权提升、防御绕过、凭证访问、发现、横向移动、收集、命令与控制、泄露、影响。如果把这12种战术比喻成为一场真实的战争 ，初始访问就相当于抢滩登录的过程；执行、持久化、特权提升、防御绕过就是夺取和牢固阵地的过程；凭证访问、发现、横向移动相当于在当前阵地上继续扩大战果 ，夺取新的高地的过程；收集、命令与控制、泄露、影响则是战争的最终目标告竣。
在现实战斗中 ，既有正面推进也战术迂回 ，因此 ，在一次实际攻击中 ，各个战术之间没有严格的顺序 ，所有的战术也不会同时泛起。
那么ATT&CK到底如何应用 ？官方给出了如下应用场景：
通俗来说 ，ATT&CK主要落所在主要包罗产物层面、威胁情报领域、宁静研究。
二、ATT&CK在产物中的应用
如果想产物落地 ，那么必须先要拿到数据。但ATT＆CK中的技术并不是每种产物都能笼罩 ，这就要看某种技术来源是什么。
从上图ATT&CK诸多技术来源方式中分析得知 ，通过进程监控、文件监控、API监控、进程命令行监控是最多的来源 ，而网络抓包、流检测是相对较少的来源。这也说明了ATT&CK对于沙箱类产物或终端软件的“亲密度”大于流量监控产物。
那么如何在产物中实现真正落地呢 ？我们认为主要有以下这么几个步骤。
? 评估现状
（1）凭据ATT&CK技术来源划定产物的最大笼罩范围；
（2）将已有规则/数据映射到ATT&CK；
（3）评估当前已映射的质量 ，区分出来哪些需要改善。
? 查漏补缺
（1）找出笼罩中的盲点；
（2）研究产物实现可行性 ，区分实现难度；
（3）难度由低到高逐步补齐能力。
三、谈谈如何将ATT＆CK真正落地——以沙箱类产物为例
1、凭据ATT&CK的每项技术描述 ，划定沙箱类产物能笼罩的理论最大范围。
2、将已有规则/数据映射到ATT&CK ，并评估当前已映射技术的质量、可信度 ，区分出哪些需要继续完善。
3、找出笼罩中的盲点。对这些盲点技术研究产物实现可行性 ，区分实现难度 ，并凭据难度逐步由低到高逐步补齐能力。
通过以上几个步骤 ，就能完成ATT&CK到一个产物的落地实现。
抖圈为赌而生天阗高级连续性威胁检测与管理系统
抖圈为赌而生天阗高级连续性威胁检测与管理系统已经实现了ATT&CK模型的产物化落地 ，目前可提供的能力如下：
在恶意文件的检测陈诉中 ，也可以看到相应规则会带有ATT&CK技术化标签。
作为信息宁静行业领军企业 ，抖圈为赌而生一直重视对新技术及新偏向研究与探索 ，积极发挥自身优势 ，不停创新 ，革新产物 ，提高产物对ATT&CK的笼罩广度和深度 ，提升产物的有效性。
京公网安备11010802024551号