将 MITRE ATT&CK 与 Google Security Operations 集成

集成版本：16.0

本文档介绍了如何将 MITRE ATT&CK 与 Google Security Operations (Google SecOps) 集成。

使用场景

MITRE ATT&CK 集成使用 Google SecOps 功能来支持以下使用情形：

• 战术威胁关联：自动识别与提醒中观察到的特定恶意攻击技术或策略相关的入侵集（已知威胁群体），从而立即了解活动背后的威胁正文。

• 缓解措施差距分析：对于标记的攻击技术，自动检索和分析 MITRE ATT&CK 框架中提供的相关缓解措施。这样，安全团队就可以验证其当前的防御控制措施是否足够，或者是否需要修补或实施工具。

• 突发事件丰富化和优先级排序：通过直接在问题墙中添加详细的技术信息（包括说明、检测方法和数据源）来丰富安全事件，帮助分析师快速了解攻击方法并确定响应步骤的优先级。

• 历史技术分析：按标识符（例如 T1050）搜索任何 MITRE ATT&CK 技术的全面详细信息，从而有助于主动搜寻威胁，并为安全培训和报告提供权威知识。

集成参数

MITRE ATT&CK 集成需要以下参数：

参数	说明
API Root	必填。 MITRE ATT&CK CTI 代码库实例的网址。
Verify SSL	可选。 如果选择此项，集成会在连接到 MITRE ATT&CK 服务器时验证 SSL 证书。 默认处于启用状态。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如果需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在剧本中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 在工作台页面中处理待处理的操作和执行手动操作。

注意 ：该集成功能可直接从 MITRE ATT&CK CTI 代码库检索所有 MITRE ATT&CK 对象信息，包括入侵集。

此代码库是集成威胁情报数据的权威来源。

获取关联的入侵

使用 Get Associated Intrusions 操作可检索与特定 MITRE ATT&CK 技术相关联的入侵集（已知对手群体）的相关信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取关联的入侵操作需要以下参数：

参数	说明
Technique ID	必填。 用于查找关联的入侵集的标识符（ID、名称或外部 ID）。
Identifier Type	必填。 Technique ID 中提供的标识符的类型。 注意：界面选项对应于原始 JSON 输出中的 name、id 和 external_id 字段。 可能的值如下： Attack Name（例如 Access Token Manipulation） Attack ID（例如 attack-pattern--478...） External Attack ID（例如 T1050） 默认值为 Attack ID。
Max Intrusions to Return	可选。 要检索的入侵集数量上限。 默认值为 20。

操作输出

获取关联的入侵操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用获取关联的入侵操作时收到的 JSON 结果输出：

注意： Attack ID、Attack Name 和 External Attack ID 是界面下拉菜单中使用的通用标签。它们对应于 JSON 输出中的 id、name 和 external_id 字段，这些字段可以表示各种 MITRE ATT&CK 对象（例如入侵集）。

[
{
    "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
    "description":"[ADVERSARY GROUP 01](https://attack.mitre.org/groups/G0001) is a threat group that has been active since at least 2014. The group ...",
    "created":"2017-12-14T16:46:06.044Z",
    "x_mitre_contributors":["Security Researcher A, Organization B"],
    "modified":"2019-07-17T13:11:37.402Z",
    "name":"ADVERSARY GROUP 01",
    "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_version":"2.0",
    "aliases":["ADVERSARY-01","ThreatGroup A","CyberSquad X","T-C-00"],
    "type":"intrusion-set",
    "id":"intrusion-set--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
    "external_references":
    [
        {
            "url":"https://attack.mitre.org/groups/G0001",
            "source_name":"mitre-attack",
            "external_id":"G0001"
        },{
            "source_name":"ADVERSARY GROUP 01",
            "description":"(Citation: SecurityVendor A May 2017) (Citation: Research Org B Nov 2017)(Citation: SecurityFirm C May 2017)"
        }]},{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 02",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 02](https://attack.mitre.org/groups/G0002) is a cyber espionage group with...",
            "modified":"2019-03-22T19:57:36.804Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references": [
                {
                    "url":"https://attack.mitre.org/groups/G0002",
                    "source_name":"mitre-attack",
                    "external_id":"G0002"
                },{
                    "source_name":"ADVERSARY GROUP 02",
                    "description":"(Citation: Trend Research Daserf Nov 2017)"
                }],
            "x_mitre_version":"1.0",
            "type":"intrusion-set",
            "id":"intrusion-set--b1c2d3e4-f5g6-7h8i-9j0k-1l2m3n4o5p6q",
            "aliases":["ADVERSARY-02","ResearchGroup Z","Tango"]
        },{
            "created_by_ref":"identity--generic-ref-a1b2c3d4e5f6",
            "name":"ADVERSARY GROUP 03",
            "created":"2018-01-16T16:13:52.465Z",
            "description":"[ADVERSARY GROUP 03](https://attack.mitre.org/groups/G0003) is a cyber espionage group that has been ...",
            "modified":"2019-05-03T16:42:19.026Z",
            "object_marking_refs":["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "external_references":
          [{
              "url":"https://attack.mitre.org/groups/G0003",
              "source_name":"mitre-attack",
              "external_id":"G0003"
          },{
              "source_name":"ADVERSARY GROUP 03",
              "description":"(Citation: ClearSky Analysis March 2017) (Citation: ClearSky Report July 2017) (Citation: Research Nov 2015)"
          },],
            "x_mitre_version":"1.1",
            "type":"intrusion-set",
            "id":"intrusion-set--c1d2e3f4-g5h6-7i8j-9k0l-1m2n3o4p5q6r",
            "aliases":["ADVERSARY-03"]
        }
]

脚本结果

下表列出了使用 Get Associated Intrusions 操作时脚本结果输出的值：

脚本结果名称	值
is_success	true 或 false

获取缓解措施

使用 Get Mitigations 操作可检索与特定 MITRE ATT&CK 技术关联的缓解策略。

此操作不适用于 Google SecOps 实体。

重要提示： 此操作使用内部 MITRE ATT&CK id 字段在 MITRE ATT&CK JSON 数据中进行搜索。

只有当 MITRE ATT&CK 数据包含将缓解措施与技术相关联的 'mitigates' 类型直接关系时，才会返回结果。

操作输入

获取缓解措施操作需要以下参数：

参数	说明
Technique ID	必填。 用于查找 MITRE ATT&CK 技术的关联缓解措施的标识符（名称、内部 ID 或外部 ID）。
Identifier Type	必填。 Technique ID 中提供的标识符的类型。 注意：界面选项对应于原始 JSON 输出中的 name、id 和 external_id 字段。 可能的值如下： Attack Name（例如 Access Token Manipulation） Attack ID（例如 attack-pattern--478...） External Attack ID（例如 T1050） 默认值为 Attack ID。
Max Mitigations to Return	可选。 要检索的缓解控制措施数量上限。 默认值为 20。

操作输出

获取缓解措施操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用获取缓解措施操作时收到的 JSON 结果输出：

[
    {
        "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
        "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Resource A 2010), such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where applicable. (Citation: Tech Ref E)",
        "created": "2018-10-17T00:14:20.652Z",
        "x_mitre_deprecated": true,
        "modified": "2019-07-24T14:26:14.411Z",
        "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
        "external_references": [
            {
                "url": "https://attack.mitre.org/mitigations/T9000",
                "source_name": "mitre-attack",
                "external_id": "T9000"
            },
            {
                "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                "source_name": "Resource A 2010",
                "description": "General Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
            },
            {
                "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                "source_name": "Security Blog C 2016",
                "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
            },
            {
                "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                "source_name": "Security Guide D 2014",
                "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
            },
            {
                "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                "source_name": "Tech Ref E 2008",
                "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
            },
            {
                "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                "source_name": "Tech Ref F",
                "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
            }
        ],
        "x_mitre_version": "1.0",
        "type": "course-of-action",
        "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
        "name": "File Encryption Mitigation"
    }
]

脚本结果

下表列出了使用 Get Mitigations 操作时脚本结果输出的值：

脚本结果名称	值
is_success	true 或 false

获取技术详情

使用 Get Technique Details 操作可检索有关特定 MITRE ATT&CK 技术的全面详细信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取技术详细信息操作需要以下参数：

参数	说明
Technique Identifier	必填。 用于查找有关 MITRE ATT&CK 技术的详细信息的标识符（名称、内部 ID 或外部 ID）的逗号分隔列表。
Identifier Type	必填。 Technique Identifier 中提供的标识符的类型。 注意：界面选项对应于原始 JSON 输出中的 name、id 和 external_id 字段。 可能的值如下： Attack Name（示例： Access Token Manipulation） Attack ID（示例： attack-pattern--478...） External Attack ID（示例：T1050） 默认值为 Attack ID。
Create Insights	可选。 如果选中，该操作会针对每个已处理的 MITRE ATT&CK 技术生成单独的安全数据洞见。 默认情况下，该环境处于停用状态。

操作输出

获取技术详情操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了在使用 Get Technique Details 操作时收到的 JSON 结果输出：

{
    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
    "external_references": [
        {
            "url": "https://attack.mitre.org/techniques/T9000",
            "external_id": "T9000",
            "source_name": "mitre-attack"
        },
        {
            "url": "http://www.security-research.org/~author/DetectingEncryptedTraffic.pdf",
            "source_name": "Research Group A 2013",
            "description": "Author, H., Co-Author, C., & Co-Author, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
        },
        {
            "url": "https://generic-wiki.org/FileSignatures",
            "source_name": "Wiki File Header Signatures",
            "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
        }
    ],
    "created": "2017-05-31T21:30:30.26Z",
    "x_mitre_platforms": ["Linux", "macOS", "Windows"],
    "type": "attack-pattern",
    "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques may be used to transfer the encrypted information out of the network, such as [Exfiltration Over C2 Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternate Protocol](https://attack.mitre.org/techniques/T1048)",
    "kill_chain_phases": [
        {
            "phase_name": "exfiltration",
            "kill_chain_name": "mitre-attack"
        }
    ],
    "modified": "2018-10-17T00:14:20.652Z",
    "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
    "x_mitre_network_requirements": false,
    "x_mitre_version": "1.0",
    "x_mitre_data_sources": ["File monitoring", "Process monitoring", "Process command-line parameters", "Binary file metadata"],
    "x_mitre_detection": "Encrypted files and related execution software can be detected through various means. Monitoring processes and command-line arguments for known encryption utilities may reveal suspicious activity. A process loading a key operating system DLL may be utilized to perform encryption. \\n\\nNetwork traffic analysis can reveal high entropy data indicative of encrypted transmission (Citation: Research Group A 2013). If the communications channel is unencrypted, network intrusion or DLP systems can detect encrypted files in transit by analyzing file headers (Citation: Wiki File Header Signatures).",
    "name": "Data Encryption for Exfiltration"
}

脚本结果

下表列出了使用 Get Technique Details 操作时脚本结果输出的值：

脚本结果名称	值
is_success	true 或 false

获取技术详情

使用 Get Techniques Details 操作可检索有关 MITRE ATT&CK 技术的全面详细信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取技术详细信息操作需要以下参数：

参数	说明
Technique Identifier	必填。 用于查找有关 MITRE ATT&CK 技术的详细信息的标识符（名称、内部 ID 或外部 ID）的逗号分隔列表。
Identifier Type	必填。 Technique Identifier 中提供的标识符的类型。 注意：界面选项对应于原始 JSON 输出中的 name、id 和 external_id 字段。 可能的值如下： Name（示例： Access Token Manipulation） ID（示例： attack-pattern--478...） External ID（示例：T1050） 默认值为 ID。

操作输出

获取技术详情操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了使用 Get Techniques Details 操作时收到的 JSON 结果输出：

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
            "external_references": [
                {
                    "url": "https://attack.mitre.org/techniques/T9000",
                    "external_id": "T9000",
                    "source_name": "mitre-attack"
                },
                {
                    "url": "http://www.security-research.org/~author/encrypted-botnet-traffic.pdf",
                    "source_name": "Research Group A 2013",
                    "description": "Author, H., Co-Author, C., & Massey, D. (2013, April). Detecting encrypted botnet traffic. Retrieved August 19, 2015."
                },
                {
                    "url": "https://generic-wiki.org/FileHeaderSignatures",
                    "source_name": "Wiki File Header Signatures",
                    "description": "Generic Wiki. (2016, March 31). List of file signatures. Retrieved April 22, 2016."
                }
            ],
            "created": "2017-05-31T21:30:30.26Z",
            "x_mitre_platforms": ["Linux", "macOS", "Windows"],
            "type": "attack-pattern",
            "description": "Sensitive data is encrypted prior to exfiltration to conceal the information from detection tools or to make the activity less conspicuous upon defender inspection. The encryption process uses a utility, programming library, or custom script and is separate from any encryption used by the command and control or file transfer protocol. Common archive formats capable of encryption include RAR and zip.\\n\\nOther exfiltration techniques likely apply as well to transfer the information out of the network, such as [Exfiltration Over Command and Control Channel](https://attack.mitre.org/techniques/T1041) and [Exfiltration Over Alternative Protocol](https://attack.mitre.org/techniques/T1048)",
            "kill_chain_phases": [
                {
                    "phase_name": "exfiltration",
                    "kill_chain_name": "mitre-attack"
                }
            ],
            "modified": "2018-10-17T00:14:20.652Z",
            "id": "attack-pattern--a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6",
            "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
            "x_mitre_network_requirements": false,
            "x_mitre_version": "1.0",
            "x_mitre_data_sources": [
                "File monitoring",
                "Process monitoring",
                "Process command-line parameters",
                "Binary file metadata"
            ],
            "x_mitre_detection": "Encryption software and encrypted files can be detected in many ways. Common utilities that may be present on the system or brought in by an adversary may be detectable through process monitoring and monitoring for command-line arguments for known encryption utilities. This may yield a significant amount of benign events, depending on how systems in the environment are typically used. The encryption key is often stated within command-line invocation of the software. A process that loads the Windows DLL crypt32.dll may be used to perform encryption, decryption, or verification of file signatures. Network traffic may also be analyzed for entropy to determine if encrypted data is being transmitted. (Citation: Research Group A 2013) If the communications channel is unencrypted, encrypted files of known file types can be detected in transit during exfiltration with a network intrusion detection or data loss prevention system analyzing file headers. (Citation: Wiki File Header Signatures)",
            "name": "Data Encryption for Exfiltration"
        }
    }
]

输出消息

获取技术详细信息操作可以返回以下输出消息：

输出消息	消息说明
Retrieved detailed information about the following techniques: TECHNIQUES. Action wasn't able to retrieve detailed information about the following techniques: TECHNIQUES Action wasn't able to find the provided techniques.	操作成功。
Error executing action "Get Technique Details". Reason: ERROR_REASON	操作失败。 检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Get Techniques Details 操作时脚本结果输出的值：

脚本结果名称	值
is_success	true 或 false

获取技术缓解措施

使用 Get Techniques Mitigations 操作可检索与指定 MITRE 攻击技术列表关联的缓解策略。

此操作不适用于 Google SecOps 实体。

操作输入

获取技术缓解措施操作需要以下参数：

参数	说明
Technique ID	必填。 一个以英文逗号分隔的标识符列表（名称、内部 ID 或外部 ID），用于查找与 MITRE ATT&CK 技术关联的缓解措施。
Identifier Type	必填。 Technique ID 中提供的标识符的类型。 可能的值如下： Attack Name （示例：Access Token Manipulation） Attack ID （示例：attack-pattern--478...） External Attack ID（示例：T1050） 默认值为 Attack ID。
Max Mitigations to Return	可选。 要检索的缓解控制措施数量上限。 默认值为 20。

操作输出

获取技术缓解措施操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	可用
输出消息	可用
脚本结果	可用

JSON 结果

以下示例展示了在使用 Get Techniques Mitigations 操作时收到的 JSON 结果输出：

[
    {
        "Entity": "course-of-action--generic-ref-1a2b3c4d5e6f",
        "EntityResult": {
            "mitigations": [
                {
                    "created_by_ref": "identity--generic-ref-a1b2c3d4e5f6",
                    "description": "Examine and restrict unnecessary system utilities, third-party tools, or software capable of file encryption. Audit and/or block these tools using application control methods (Citation: Research Org A 2010) such as Whitelisting Policy (Citation: Security Blog C 2016) or Software Restriction Mechanisms (Citation: Security Guide D 2014) where appropriate. (Citation: Tech Ref E)",
                    "created": "2018-10-17T00:14:20.652Z",
                    "x_mitre_deprecated": true,
                    "modified": "2019-07-24T14:26:14.411Z",
                    "object_marking_refs": ["marking-definition--fa42a846-8d90-4e51-bc29-71d5b4802168"],
                    "external_references": [
                        {
                            "url": "https://attack.mitre.org/mitigations/T9000",
                            "source_name": "mitre-attack",
                            "external_id": "T9000"
                        },
                        {
                            "url": "http://www.generic-security.org/whitepapers/application/app-whitelisting-33599",
                            "source_name": "Research Org A 2010",
                            "description": "Generic Author, J. (2010, December). Application Whitelisting: Panacea or Propaganda?. Retrieved November 18, 2014."
                        },
                        {
                            "url": "http://blog.generic-cert.org/2016/01/windows-commands-abused-by-attackers.html",
                            "source_name": "Security Blog C 2016",
                            "description": "Researcher X. (2016, January 26). Windows Commands Abused by Attackers. Retrieved February 2, 2016."
                        },
                        {
                            "url": "https://www.generic-agency.gov/ia-guidance/tech-briefs/app-whitelisting.cfm",
                            "source_name": "Security Guide D 2014",
                            "description": "Government Agency Directorate. (2014, August). Application Whitelisting Using Policy Engine. Retrieved March 31, 2016."
                        },
                        {
                            "url": "http://technet.generic-corp.com/magazine/2008.06.srp.aspx",
                            "source_name": "Tech Ref E 2008",
                            "description": "Author C, & Author D. P. (2008, June). Application Lockdown with Restriction Policies. Retrieved November 18, 2014."
                        },
                        {
                            "url": "https://technet.generic-corp.com/library/ee791851.aspx",
                            "source_name": "Tech Ref F",
                            "description": "Generic Corp. (2012, June 27). Using Software Restriction Policies and AppLocker Policies. Retrieved April 7, 2016."
                        }
                    ],
                    "x_mitre_version": "1.0",
                    "type": "course-of-action",
                    "id": "course-of-action--a1b2c3d4-e5f6-7g8h-9i0j-1k2l3m4n5o6p",
                    "name": "File Encryption Mitigation"
                }
            ]
        }
    }
]

输出消息

获取技术缓解措施操作可以返回以下输出消息：

输出消息	消息说明
Successfully retrieved mitigations for the following techniques: TECHNIQUES. Action wasn't able to to find mitigations for the following techniques: TECHNIQUES	操作成功。
Error executing action "Get Techniques Mitigations". Reason: ERROR_REASON	操作失败。 检查与服务器的连接、输入参数或凭据。

脚本结果

下表列出了使用 Get Techniques Mitigations 操作时脚本结果输出的值：

脚本结果名称	值
is_success	true 或 false

Ping

使用 Ping 操作测试与 MITRE ATT&CK 的连接。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型	可用性
案例墙附件	不可用
案例墙链接	不可用
“支持请求墙”表格	不可用
丰富化表	不可用
JSON 结果	不可用
输出消息	可用
脚本结果	可用

脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称	值
is_success	true 或 false

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。