監控威脅涵蓋範圍 (MITRE)

支援的服務：

Google SecOps SIEM

本文說明如何在 Google Security Operations 中使用 MITRE ATT&CK 矩陣資訊主頁。這個矩陣可協助您瞭解組織的資安態勢，並與 MITRE ATT&CK 架構對照。此外，這項服務還能協助您找出威脅涵蓋範圍中的漏洞，並排定安全性工作的優先順序。

注意： Google SecOps 支援 ATT&CK 19.1 版。

瞭解戰術和技術

在 MITRE ATT&CK 框架中，下列是用於分類攻擊者行為的基本概念。

• 戰術：攻擊者試圖達成的最終目標。舉例來說，常見的策略包括 Initial Access (進入網路)、Persistence (留在網路中) 和 Exfiltration (竊取資料)。

• 技術：用來達成戰術的特定方法。舉例來說，攻擊者可能會使用 Phishing 技術來取得 Initial Access 戰術。每種策略都有攻擊者可能使用的不同技術。

• 子技術：子技術會更具體地說明技術的執行方式。並詳細說明達成戰術目標的程序或機制。例如，Spearphishing Attachment 和 Spearphishing Link 是 Phishing 技術的子技術。

MITRE ATT&CK 矩陣會顯示下列戰術：

MITRE ATT&CK 策略	說明
Collection	收集資料。
指揮與控制	與受控系統通訊。
憑證存取權	竊取登入資訊和密碼。
規避防禦機制	避免遭人發現。
探索	瞭解您的環境。
執行	執行惡意程式碼。
資料竊取	竊取資料。
影響	操控、中斷或破壞系統和資料。
初始存取權	進入您的環境。
橫向移動	在環境中移動。
Persistence	維持立足點。
提權	取得更高層級的權限。
偵察	收集資訊，供日後惡意行動使用。 只有在使用者偏好設定中選取 PRE 平台時，矩陣才會顯示這項策略。
資源開發	建立資源來支援惡意行動。 只有在使用者偏好設定中選取 PRE 平台時，矩陣才會顯示這項戰術。

常見用途

本節列出使用 MITRE ATT&CK 矩陣的一些常見用途。

找出新的偵測機會

• 目標：資安分析師希望擴大偵測規則涵蓋範圍，主動強化組織的資安態勢。

• 工作：找出您有必要資料可建立新偵測規則，但尚未設定規則的區域。

• 步驟：

  1. 開啟 MITRE ATT&CK 矩陣。

  2. 掃描矩陣，找出規則數量偏低或為零的技術卡。

  3. 找出顯示「0 條規則」但列出可用記錄類型的技術資訊卡。

  4. 按一下資訊卡，開啟技術詳細資料面板。

  5. 查看記錄來源清單，確認這些是可靠的大量資料動態饋給。

• 結果：找出高價值偵測機會。您知道自己已成功擷取正確資料來偵測這項技術，現在可以繼續建立新規則，填補這個涵蓋範圍缺口。

回應新的威脅諮詢

• 目標：美國網路安全暨基礎設施安全局 (CISA) 發布警示，指出有新的勒索軟體攻擊您所在的產業。

• 任務：身為偵測工程師，您需要瞭解目前的安全性規則是否能偵測到這項新威脅使用的特定戰術、技術和程序 (TTP)。

• 步驟：

  1. 開啟 MITRE ATT&CK 矩陣。

  2. 篩選矩陣，醒目顯示 CISA 警示中提及的技術 (例如 T1486: Data Encrypted for Impact、T1059.001: PowerShell)。

  3. 觀察矩陣。您發現矩陣顯示 PowerShell 涵蓋範圍良好，但 Data Encrypted for Impact 是「無涵蓋範圍」的重要缺口。

• 結果：您發現防禦機制有高優先順序的漏洞。現在，您可以建立新的偵測規則，涵蓋勒索軟體行為。

調整及改善現有偵測

• 目標：最近發生資安事件後，身為資安工程師，您需要提升觸發偵測的品質。

• 工作：您想查看特定技術的所有資料點。這有助於判斷現有規則是否使用最佳資料來源和邏輯。

• 步驟：

  1. 開啟矩陣，然後按一下技術 T1003: OS Credential Dumping。

  2. 「Details」(詳細資料) 檢視畫面會顯示這項技術的兩項規則。

  3. 請注意，這兩項規則都使用舊版指令列記錄。不過，資料來源小工具顯示，新的 EDR 工具可為這項技術提供更高傳真的資料。

• 結果：您找到明確的方法來提高偵測品質。現在，您可以使用 EDR 資料建立更強大的新規則。這可減少偽陽性，並提高偵測到複雜憑證轉儲攻擊的機率。

事前準備

如要在矩陣中顯示自訂規則，並計入威脅涵蓋範圍，您必須將規則對應至一或多項 MITRE ATT&CK 技術。

方法是在規則的 metadata 區段中新增 technique 鍵。值必須是有效的 MITRE ATT&CK 技術 ID，或以半形逗號分隔的多個 ID 字串。

範例：metadata: technique="T1548,T1134.001"

新規則會在幾分鐘內顯示在矩陣中。

存取 MITRE ATT&CK 矩陣

如要存取 MITRE ATT&CK 矩陣，請按照下列步驟操作：

1. 登入 Google SecOps。

2. 在導覽選單中，依序點選「偵測」>「規則與偵測」。

3. 前往「MITRE ATT&CK Matrix」分頁。

MITRE ATT&CK 矩陣隨即顯示。

使用 MITRE ATT&CK 矩陣

矩陣會以資料欄顯示 MITRE ATT&CK 戰術，並以資料欄中的資訊卡顯示技術。每張技術資訊卡都會以顏色標示，指出該技術目前的偵測涵蓋範圍狀態和深度。

在技術資訊卡上，您可以查看下列資訊：

子技術指標：小型彩色指標代表相關聯的子技術。每個指標的顏色對應到該子技術的規則數量。將滑鼠游標懸停在指標上，即可查看名稱。

子技術切換鈕：如要簡化主要矩陣並減少視覺干擾，請開啟「View options」(檢視選項) 選單，然後清除「Display sub-techniques」(顯示子技術) 核取方塊。

記錄類型數量：顯示與技術相關聯的記錄類型。如果某項技術沒有任何規則，技術資訊卡會顯示相關聯的記錄類型數量 (例如「7 種記錄類型」)。這表示有偵測機會，代表您有必要的資料，可建立該技術的規則。

精確計算涵蓋率

如要精細調整涵蓋率計算，請使用「Rule type」(規則類型)、「Live status」(即時狀態) 和「Alerting status」(快訊狀態) 清單。

搜尋技巧

使用搜尋列，依名稱 (例如 Windows Command Shell) 或 ID (例如 T1059.003) 尋找特定技術。如要依規則名稱、記錄類型或 MITRE 資料來源搜尋，請使用「Search by」(搜尋依據) 選單縮小結果範圍。

注意： MITRE ATT&CK 資訊主頁不會顯示自訂記錄類型。

查看技術詳細資料和記錄來源

按一下任何技術資訊卡，即可開啟技術詳細資料側邊面板。這個面板會提供技術相關資訊，以及貴組織偵測該技術的能力。

面板包含下列資訊：

MITRE 說明：MITRE ATT&CK 架構對技術的官方說明。

子技術：與技術相關的所有子技術。每個 ID 旁的彩色方塊代表該子技術的規則數量。

精選規則：該技術所有相關規則的完整清單。

記錄來源：過去 30 天內曾主動傳送資料，且對應至該技術 MITRE 資料來源的記錄來源。

匯出資料

按一下「匯出」，將目前的矩陣檢視畫面下載為 JSON 檔案。這個檔案與官方 MITRE ATT&CK 導覽工具相容，可用於進一步分析。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。