Supervisa la cobertura de amenazas (MITRE)

Compatible con:

En este documento, se describe cómo usar el panel de la matriz de MITRE ATT&CK en Google Security Operations. La matriz te ayuda a comprender la postura de seguridad de tu organización en relación con el framework de MITRE ATT&CK. También te ayuda a encontrar brechas en tu cobertura de amenazas y priorizar tus tareas de seguridad.

Comprende las tácticas y técnicas

En el framework de MITRE ATT&CK, los siguientes son los conceptos fundamentales que se usan para categorizar el comportamiento del adversario.

  • Táctica: Es el objetivo de alto nivel que un atacante intenta alcanzar. Por ejemplo, las tácticas comunes incluyen Initial Access (ingresar a la red), Persistence (permanecer en la red) y Exfiltration (robar datos).

  • Técnica: Es el método específico que se usa para lograr una táctica. Por ejemplo, un atacante podría usar la técnica Phishing para obtener la táctica Initial Access. Cada táctica tiene diferentes técnicas que un adversario podría usar.

  • Subtécnica: Una subtécnica proporciona una descripción más específica de cómo se ejecuta una técnica. En él, se detalla el proceso o mecanismo para lograr el objetivo de una táctica. Por ejemplo, Spearphishing Attachment y Spearphishing Link son subtécnicas de la técnica Phishing.

Las siguientes tácticas se muestran en la matriz de MITRE ATT&CK:

Táctica de MITRE ATT&CK Descripción
Colección Recopila datos.
Comando y control Comunícate con los sistemas controlados.
Acceso a credenciales Robar información de acceso y contraseñas
Evasión de defensa Evitar la detección
Discovery Conocer tu entorno
Ejecución Ejecutar código malicioso
Robo de datos Robar datos
Impacto Manipular, interrumpir o destruir sistemas y datos
Acceso inicial Obtener acceso a tu entorno
Movimiento lateral Desplazarse por tu entorno
Persistencia Mantener su posición
Elevación de privilegios Obtener permisos de nivel más alto
Reconocimiento Obtener información para usarla en futuras operaciones maliciosas Esta táctica se muestra en la matriz solo cuando se selecciona la plataforma PRE en tus preferencias de usuario.
Desarrollo de recursos Establecer recursos para respaldar operaciones maliciosas Esta táctica se muestra en la matriz solo cuando se selecciona la plataforma de PRE en tus preferencias de usuario.

Casos de uso habituales

En esta sección, se enumeran algunos casos de uso comunes para usar la matriz de MITRE ATT&CK.

Identifica nuevas oportunidades de detección

  • Objetivo: Como analista de seguridad, quieres mejorar de forma proactiva la postura de seguridad de tu organización expandiendo la cobertura de las reglas de detección.

  • Tarea: Busca áreas en las que tengas los datos necesarios para crear detecciones nuevas, pero no tengas reglas implementadas.

  • Pasos:

    1. Abre la matriz de MITRE ATT&CK.

    2. Analiza la matriz en busca de tarjetas de técnicas que muestren un recuento de reglas bajo o nulo.

    3. Busca una tarjeta de técnica que muestre "0 reglas", pero que enumere los tipos de registros disponibles.

    4. Haz clic en la tarjeta para abrir el panel de detalles de la técnica.

    5. Revisa la lista de fuentes de registro para confirmar que se trate de feeds de datos confiables y de gran volumen.

  • Resultado: Identificar una oportunidad de detección de alto valor. Sabes que estás transfiriendo correctamente los datos adecuados para detectar esta técnica y ahora puedes proceder a crear una regla nueva para cerrar esta brecha de cobertura.

Responde a un nuevo aviso de amenaza

  • Objetivo: La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) emite una alerta sobre un nuevo ransomware que ataca tu sector.

  • Tarea: Como ingeniero de detección, debes saber si tus reglas de seguridad actuales pueden detectar las tácticas, técnicas y procedimientos (TTP) específicos que usa esta nueva amenaza.

  • Pasos:

    1. Abre la matriz de MITRE ATT&CK.

    2. Filtra la matriz para destacar las técnicas mencionadas en la alerta de la CISA (por ejemplo, T1486: Data Encrypted for Impact, T1059.001: PowerShell).

    3. Observa la matriz. Observas que la matriz muestra que PowerShell está bien cubierto, pero Data Encrypted for Impact es una brecha crítica con "Sin cobertura".

  • Resultado: Encuentras una brecha de alta prioridad en tus defensas. Ahora puedes crear una nueva regla de detección para cubrir el comportamiento del ransomware.

Ajustar y mejorar las detecciones existentes

  • Objetivo: Después de un incidente de seguridad reciente, como ingeniero de seguridad, debes mejorar la calidad de las detecciones que se activaron.

  • Tarea: Quieres ver todos los datos de una técnica específica. Esto te ayuda a decidir si tus reglas existentes usan las mejores fuentes de datos y la mejor lógica.

  • Pasos:

    1. Abre la matriz y haz clic en la técnica T1003: OS Credential Dumping.

    2. En la vista Detalles, se muestran las dos reglas para esta técnica.

    3. Observa que ambas reglas usan registros de línea de comandos más antiguos. Sin embargo, el widget de fuente de datos muestra que la nueva herramienta de EDR proporciona datos de mayor calidad para esta técnica.

  • Resultado: Encuentras una forma clara de mejorar la calidad de la detección. Ahora puedes crear una regla nueva y más sólida con los datos de EDR. Esto genera menos falsos positivos y una mayor probabilidad de detectar ataques complejos de volcado de credenciales.

Antes de comenzar

Para que tus reglas personalizadas aparezcan en la matriz y se incluyan en la cobertura de amenazas, debes asignarlas a una o más técnicas de MITRE ATT&CK.

Para ello, agrega una clave technique a la sección metadata de la regla. El valor debe ser un ID de técnica de MITRE ATT&CK válido o varios IDs como una cadena separada por comas.

Ejemplo: metadata: technique="T1548,T1134.001"

Las reglas nuevas aparecen en la matriz en unos minutos.

Accede a la matriz de MITRE ATT&CK

Para acceder a la matriz de MITRE ATT&CK, haz lo siguiente:

  1. Accede a Google SecOps.

  2. En el menú de navegación, haz clic en Detección > Reglas y detecciones.

  3. Navega a la pestaña Matriz de MITRE ATT&CK.

Aparecerá la matriz de MITRE ATT&CK.

Usar la matriz de MITRE ATT&CK

La matriz muestra las tácticas de MITRE ATT&CK como columnas y las técnicas como tarjetas dentro de esas columnas. Cada tarjeta de técnica tiene un código de color que indica el estado actual y la profundidad de la cobertura de detección para esa técnica.

En las tarjetas de técnicas, puedes ver lo siguiente:

Indicadores de subtécnicas: Los indicadores pequeños de color representan las subtécnicas asociadas. El color de cada indicador corresponde a la cantidad de reglas de esa subtécnica. Mantén el puntero sobre un indicador para ver su nombre.

Activar o desactivar subtécnicas: Para simplificar la matriz principal y reducir el ruido visual, abre el menú Opciones de vista y desmarca la casilla de verificación Mostrar subtécnicas.

Recuento de tipos de registros: Muestra los tipos de registros asociados con la técnica. Si una técnica no tiene reglas, la tarjeta de la técnica puede mostrar un recuento de los tipos de registros asociados (por ejemplo, "7 tipos de registros"). Esto indica una oportunidad de detección, lo que demuestra que tienes los datos necesarios para crear reglas para esa técnica.

Define mejor el cálculo de la cobertura

Para definir mejor el cálculo de la cobertura, usa las listas de Tipo de regla, Estado activo y Estado de alerta para definir mejor tus cálculos de cobertura.

Buscar técnicas

Usa la barra de búsqueda para encontrar una técnica específica por nombre (por ejemplo, Windows Command Shell) o ID (por ejemplo, T1059.003). Para los nombres de las reglas, los tipos de registros o las fuentes de datos de MITRE, usa el menú Buscar por para limitar los resultados.

Ver detalles de la técnica y fuentes de registro

Haz clic en cualquier tarjeta de técnica para abrir el panel lateral de detalles de la técnica. En este panel, se proporciona información sobre la técnica y la capacidad de tu organización para detectarla.

El panel contiene la siguiente información:

Descripción de MITRE: Es la descripción oficial de la técnica del framework de MITRE ATT&CK.

Subtécnicas: Todas las subtécnicas asociadas con la técnica. El chip de color junto a cada ID indica la cantidad de reglas para esa subtécnica específica.

Reglas seleccionadas: Es una lista completa de todas las reglas asociadas para esa técnica.

Fuentes de registros: Son las fuentes de registros que corresponden a las fuentes de datos de MITRE para la técnica que enviaron datos de forma activa en los últimos 30 días.

Exportar datos

Haz clic en Exportar para descargar la vista de matriz actual como un archivo JSON. Este archivo es compatible con la herramienta oficial de navegación de MITRE ATT&CK para realizar análisis adicionales.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.