监控威胁覆盖范围 (MITRE)

支持范围：

Google SecOps SIEM

本文档介绍了如何在 Google Security Operations 中使用 MITRE ATT&CK 矩阵信息中心。该矩阵可帮助您了解组织的安全状况（对照 MITRE ATT&CK 框架）。它还可以帮助您发现威胁覆盖范围中的差距，并确定安全任务的优先级。

注意 ：Google SecOps 支持 ATT&CK 19.1 版。

了解战术和方法

在 MITRE ATT&CK 框架中，以下是用于对攻击者行为进行分类的基本概念。

• 策略：攻击者试图实现的总体目标。例如，常见策略包括 Initial Access（进入网络）、Persistence（留在网络中）和 Exfiltration（窃取数据）。

• 技术：用于实现策略的具体方法。例如，攻击者可能会使用 Phishing 技术来获得 Initial Access 策略。每种策略都有攻击者可以使用的不同技术。

• 子方法：子方法更具体地描述了方法的执行方式。它详细说明了实现战术目标的过程或机制。例如，Spearphishing Attachment 和 Spearphishing Link 是 Phishing 技术的子技术。

MITRE ATT&CK 矩阵中会显示以下策略：

MITRE ATT&CK 策略	说明
集合	收集数据。
命令与控制	联系受控系统。
凭证访问	窃取登录信息和密码信息。
防护规避	规避检测。
发现	了解您的环境。
执行	运行恶意代码。
数据渗漏	窃取数据。
影响	操纵、中断或破坏系统和数据。
初始访问	进入您的环境。
横向移动	在您的环境中移动。
持久保留	维持立足点。
提升权限	获取更高级别的权限。
侦察	收集信息，以便在未来的恶意操作中使用。 只有在用户偏好设置中选择 PRE 平台时，此策略才会显示在矩阵中。
资源开发	建立资源以支持恶意操作。 仅当您在用户偏好设置中选择 PRE 平台时，此策略才会显示在矩阵中。

常见使用场景

本部分列出了使用 MITRE ATT&CK 矩阵的一些常见应用场景。

识别新的检测机会

• 目标：作为安全分析师，您希望通过扩大检测规则覆盖范围，主动改善组织的安全状况。

• 任务：找出您拥有构建新检测规则所需的数据，但尚未设置规则的领域。

• 步骤：

  1. 打开 MITRE ATT&CK 矩阵。

  2. 扫描矩阵，查找显示规则数量较低或为零的技术卡片。

  3. 找到显示“0 条规则”但列出了可用日志类型的技术卡片。

  4. 点击卡片可打开手法详情面板。

  5. 查看日志来源列表，确认这些是可靠的大容量数据 Feed。

• 结果：确定高价值检测机会。您知道自己已成功提取正确的数据来检测此技术，现在可以继续创建新规则来弥补此覆盖率差距。

应对新的威胁建议

• 目标：网络安全和基础设施安全局 (CISA) 发布了有关攻击您所在行业的新勒索软件的提醒。

• 任务：作为检测工程师，您需要了解当前的安全规则是否可以检测到这种新威胁所使用的特定战术、技术和程序 (TTP)。

• 步骤：

  1. 打开 MITRE ATT&CK 矩阵。

  2. 过滤矩阵以突出显示 CISA 提醒中提及的技术（例如 T1486: Data Encrypted for Impact、T1059.001: PowerShell）。

  3. 观察矩阵。您发现矩阵显示 PowerShell 得到了很好的覆盖，但 Data Encrypted for Impact 是一个关键缺口，显示为“无覆盖”。

• 结果：您发现了防御系统中的一个高优先级漏洞。现在，您可以创建新的检测规则来涵盖勒索软件行为。

调整和改进现有检测

• 目标：最近发生了一起安全突发事件，作为安全工程师，您需要提高触发的检测的质量。

• 任务：您想查看特定技术的所有数据点。这有助于您确定现有规则是否使用了最佳数据源和逻辑。

• 步骤：

  1. 打开矩阵，然后点击 T1003: OS Credential Dumping 技术。

  2. 详细信息视图显示了此技术的两条规则。

  3. 请注意，这两条规则都使用旧版命令行日志。不过，数据源 widget 显示，新 EDR 工具为此技术提供了更高保真度的数据。

• 结果：您找到了提高检测质量的明确方法。 现在，您可以使用 EDR 数据创建更强大的新规则。这样可以减少假正例，并提高捕获复杂凭据转储攻击的可能性。

准备工作

如需让自定义规则显示在矩阵中并计入威胁覆盖范围，您必须将其映射到一个或多个 MITRE ATT&CK 技术。

为此，请向规则的 metadata 部分添加 technique 键。该值必须是有效的 MITRE ATT&CK 技术 ID，或以逗号分隔的字符串形式表示的多个 ID。

示例：metadata: technique="T1548,T1134.001"

新规则会在几分钟内显示在矩阵中。

访问 MITRE ATT&CK 矩阵

如需访问 MITRE ATT&CK 矩阵，请执行以下操作：

1. 登录 Google SecOps。

2. 在导航菜单中，依次点击检测 > 规则和检测。

3. 前往 MITRE ATT&CK 矩阵标签页。

系统会显示 MITRE ATT&CK 矩阵。

使用 MITRE ATT&CK 矩阵

该矩阵将 MITRE ATT&CK 策略显示为列，并将技术显示为这些列中的卡片。每张技术卡片都采用颜色编码，用于指示该技术的当前状态和检测覆盖深度。

在技巧卡片上，您可以查看以下内容：

子技术指标：彩色小指标表示关联的子技术。每个指示器的颜色对应于该子技术的规则数量。将指针悬停在某个指示器上，即可查看其名称。

子技术切换开关：如需简化主矩阵并减少视觉干扰，请打开视图选项菜单，然后清除显示子技术复选框。

日志类型计数：显示与该技术关联的日志类型。如果某项技术没有规则，则技术卡片可以显示关联日志类型的数量（例如“7 种日志类型”）。这表示检测机会，表明您拥有为该技术创建规则所需的数据。

优化覆盖率计算

如需优化覆盖率计算，请使用规则类型、实时状态和提醒状态列表来优化覆盖率计算。

搜索技巧

使用搜索栏按名称（例如 Windows Command Shell）或 ID（例如 T1059.003）查找特定技术。对于规则名称、日志类型或 MITRE 数据源，请使用搜索依据菜单缩小结果范围。

注意： 自定义日志类型不会显示在 MITRE ATT&CK 信息中心内。

查看技术详情和日志来源

点击任意技术卡片，即可打开技术详情侧边栏。此面板提供有关该技术以及贵组织检测该技术的能力的信息。

该面板包含以下信息：

MITRE 说明：MITRE ATT&CK 框架中对该技术的官方说明。

子技术：与该技术关联的所有子技术。每个 ID 旁边的彩色条状标签表示该特定子技术的规则数量。

精选规则：该技术的所有关联规则的完整列表。

日志源：与该技术的 MITRE 数据源相对应，且在过去 30 天内主动发送过数据的日志源。

导出数据

点击导出，将当前矩阵视图下载为 JSON 文件。此文件与官方 MITRE ATT&CK 导航器工具兼容，可用于进一步分析。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。