ATT&CK

ATT&CK es una “base de conocimientos de acceso global de tácticas y técnicas adversarias basadas en observaciones del mundo real” (MITRE) utilizada para el lenguaje de modelado de amenazas. El objetivo de ATT&CK es proporcionar un lenguaje común para describir el comportamiento del atacante y servir como base para desarrollar modelos y metodologías de amenazas específicas.

El marco de ataque MITRE está diseñado para profesionales de la ciberseguridad en todos los niveles de la organización, desde analistas hasta ejecutivos. Los profesionales pueden usarlo para tomar decisiones sobre estrategias de detección, prevención y respuesta. Además, el marco MITRE ATT&CK se puede utilizar para comparar la postura de seguridad de una organización con adversarios específicos, medir la eficacia de los controles de seguridad y evaluar las brechas en las defensas (VMWare, 2022).

El marco MITRE ATT&CK consta de tres capas (Trellix):

• Tácticas: las acciones utilizadas por un adversario para lograr sus objetivos
• Técnicas: los métodos o herramientas específicos empleados por un adversario para ejecutar una táctica
• Procedimientos: los pasos detallados dados por un adversario para llevar a cabo una técnica

El marco de ataque MITRE está organizado por tácticas, que se agrupan en categorías en función de su propósito. Cada categoría contiene técnicas que los atacantes pueden usar para lograr la táctica asociada. Para cada técnica, hay una descripción del procedimiento que un adversario puede usar para llevarla a cabo.

¿Es MITRE un modelo de amenaza?

MITRE ATT&CK es la base de conocimientos utilizada para el lenguaje de modelado de amenazas de MITRE. En general, el modelado de amenazas identifica amenazas, vulnerabilidades y riesgos para que los usuarios puedan comprender y proteger mejor sus sistemas. Por ejemplo, los ingenieros tendrán en cuenta los riesgos de incendio, los riesgos de terremotos y el potencial de inundación al diseñar un nuevo edificio para que la estructura sea lo más segura posible. De la misma manera, los analistas utilizan el modelado de amenazas para identificar posibles debilidades y vulnerabilidades al desarrollar un nuevo sistema de ciberseguridad.

¿A qué tecnologías se aplica ATT&CK?

El marco ATT&CK se aplica a varias tecnologías, incluyendo pero no limitado a:

• Sistemas operativos: Windows, Linux, macOS
• Dispositivos móviles: Android, iOS
• Proveedores de la nube: Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform (GCP)
• Plataformas de virtualización: VMware, Xen
• Plataformas de contenedores: Docker, Kubernetes
• Sistemas de control industrial (ICS): Siemens Simatic WinCC, GE Proficy iFix

Cada tecnología tiene sus propias técnicas específicas de MITRE ATT&CK que se aplican a esa plataforma. Por ejemplo, Windows tiene técnicas como la inyección de procesos y la escalada de privilegios que son específicas de ese sistema operativo. Del mismo modo, las técnicas de inyección de código y exclusión de listas blancas de aplicaciones son específicas de la plataforma Android.
El marco MITRE ATTACK se actualiza constantemente con nuevas técnicas a medida que los atacantes encuentran nuevas formas de explotar los sistemas. Por lo tanto, a medida que surjan nuevas tecnologías, la lista de tecnologías aplicables de MITRE ATTACK seguirá creciendo.

¿MITRE ATT&CK es de código abierto?

ATTACK no es en sí mismo de código abierto, pero la información contenida en él está disponible de forma gratuita para cualquier persona. Cualquiera puede usar la base de conocimientos ATTACK para ayudar a mejorar su postura de seguridad (CyberArk, 2021).

Hay muchas formas de usar MITRE ATTACK. Una forma popular es crear lo que se llama “simulación de ataque”. En una simulación de ataque, los defensores intentan detener a un adversario utilizando técnicas conocidas de ATTACK. Estas simulaciones ayudan a los defensores a practicar sus respuestas a las amenazas del mundo real y a conocer cualquier brecha en sus defensas.

¿Cuántas tácticas y técnicas hay en MITRE ATT&CK?

La versión actual de MITRE ATTACK incluye nueve tácticas y más de 100 técnicas. Pero eso no significa que solo haya nueve formas de atacar un sistema o que solo haya 100 técnicas existentes. Hay muchos más que eso.

Algunas técnicas comunes incluyen la infección por malware, la ingeniería social, la adivinanza de contraseñas, la inyección de SQL y los ataques de denegación de servicio. A medida que los atacantes encuentran nuevas formas de explotar sistemas y personas, se están creando nuevas técnicas.

¿Cómo Ayuda MITRE ATT&CK A Las Operaciones De Seguridad?

El objetivo de MITRE ATTACK es proporcionar un lenguaje común para discutir las amenazas de ciberseguridad y ayudar a los profesionales de la seguridad a compartir información sobre los TTP. No está destinado a ser una bala de plata o ser utilizado como una única fuente de inteligencia; los profesionales deben usarlo junto con otras herramientas y fuentes de información.

La matriz MITRE ATT&CK: tácticas y técnicas

El objetivo de la matriz de ATAQUE es equipar mejor a los defensores para anticipar el comportamiento del atacante, identificar las lagunas en sus defensas e implementar estrategias de mitigación. Las técnicas de matriz y MITRE ATT&CK han sido ampliamente adoptadas dentro de la comunidad de ciberseguridad y son utilizadas por profesionales de varias industrias.

La matriz de ataque MITRE consiste en tácticas agrupadas en tres categorías: acceso inicial, ejecución y persistencia. Cada táctica representa una acción de alto nivel que un atacante puede tomar para obtener acceso a un sistema o mantener el acceso a un sistema. Para cada táctica, una o más técnicas MITRE ATT&CK asociadas describen cómo un atacante puede ejecutar esa táctica.

¿Cuáles son algunos casos de uso de la matriz MITRE ATT&CK?

Un caso de uso común para la matriz es identificar qué activos dentro de una organización son más críticos y necesitan ser protegidos. Esto puede ayudar a priorizar el gasto en seguridad y garantizar que los activos más críticos se defiendan adecuadamente. Además, la matriz se puede utilizar para evaluar la postura de seguridad actual de una organización e identificar las brechas (Walkowski, 2021).

La matriz MITRE ATT&CK también se puede utilizar para crear “libros de jugadas” para diferentes tipos de ataques (Anderson, 2020). Estos libros de jugadas se pueden utilizar para ayudar a los equipos de respuesta a incidentes a identificar y responder rápidamente a los ataques. Además, los libros de jugadas pueden capacitar al personal sobre cómo responder a varios tipos de ataques.

Por último, los analistas de inteligencia de amenazas pueden usar la matriz para rastrear y analizar las tendencias en las técnicas de ataque de MITRE. Esta información se puede utilizar para desarrollar mejores defensas contra futuros ataques.

¿Por qué un hacker ético debería conocer MITRE ATT&CK?

Si estás en el campo de la seguridad, es esencial estar al tanto del marco MITRE ATT&CK. Esta es una base de conocimientos completa de técnicas de ciberataque que se puede utilizar para ayudar a planificar y defenderse de las amenazas del mundo real.

^{Con información de EC-Council}