什麼是 MITRE ATT&CK 框架？

MITRE ATTACK 框架 - 說明

MITRE ATTACK 框架是一個全球知識庫，供安全專業人員用來建模並理解網路犯罪分子用於滲透組織的不同攻擊策略。

它考量真實世界的觀察結果，並追蹤對手在整個攻擊生命週期中使用的戰術與技術。它不僅僅是一個作為資料集合的框架；它能即時提供真正的洞察、推斷其動機，並描繪其行動，以及這些行動如何對應到不同類別與分類的防禦措施。

MITRE ATTACK 框架的關鍵組成元件

MITRE ATTACK 框架的關鍵組成元件如下：

戰術與技術

• 戰術對應到對手鎖定的攻擊生命週期不同階段。它包含攻擊背後的「為什麼」，並涵蓋執行、持續性、初始存取和權限提升等面向。它也涵蓋橫向移動、資料外洩、資料蒐集、影響、防禦規避，以及憑證存取。
• 技術涉及對手攻擊策略或目標的「如何」。它探討其多種攻擊技術，並檢視其如何取得初始存取。這些可能包括利用對外公開的應用程式、魚叉式網路釣魚，以及使用有效的使用者帳戶。

矩陣（Enterprise、Mobile、ICS）

矩陣用於模擬對手行為並增強偵測能力。它們是紅隊與藍隊作業的一部分。矩陣也將記錄適用於各種環境的攻擊者技術與戰術，例如 iOS 和 Android、Linux 等企業平台、雲端、macOS 和 Windows，甚至是工業控制系統 (ICS)。它們將在偵察與影響之下對對手行動進行分類。矩陣也將包含子技術與特定技術，這些技術可能是目標系統所特有的，例如工業控制網路與行動裝置。

程序與緩解措施

• 程序 是對手採用的流程。它們作為真實世界的範例使用，也包含技術實際運作的案例研究。
• 緩解措施 是用來對抗技術的建議。MITRE ATT&CK 框架將包含潛在的緩解程序，以協助安全專業人員建立更完善的防禦系統。

MITRE ATT&CK 與 Cyber Kill Chain 有何不同？

乍看之下，MITRE Engenuity ATT&CK 框架與 Lockheed Martin Cyber Kill Chain 類似。這兩個框架都提供威脅行為與目標的不同模型。

The Cyber Kill Chain 分為 7 個步驟：

1. 偵察
2. 武器化
3. 傳遞
4. 利用
5. 安裝
6. 命令與控制
7. 針對目標的行動

MITRE Engenuity ATT&CK 框架有 10 個步驟：

1. 初始存取
2. 執行
3. 持續性
4. 權限提升
5. 防禦規避
6. 憑證存取
7. 探索
8. 橫向移動
9. 蒐集與外洩
10. 命令與控制

MITRE ATTACK 框架階段深入探討對手行為，而 Cyber Kill Chain 則透過線性模型將單一攻擊拆解為七個階段，提供高層級概觀。這就是 MITRE attack framework 與 Cyber Kill Chain 之間的主要差異。

如何使用 MITRE ATT&CK 框架

在您開始使用 MITRE ATT&CK Framework 之前，請先了解它包含以下項目：

• 攻擊技術的描述
• 與這些技術相關的子技術清單
• 已知偵測與緩解方法清單
• 與攻擊技術相關的中繼資料
• 與攻擊技術相關的其他資源與參考資料

MITRE attack framework 的用途是什麼？您可獲得歸類於 MITRE ATT&CK 框架下的 14 項戰術，涵蓋整個 cyber kill chain。這些將包括攻擊的額外影響、初始資訊蒐集、資料外洩及其他面向。現在我們已經說明完這些，以下是您實際開始使用 MITRE ATT&CK Framework 的方式。

威脅建模

使用 MITRE ATT&CK 進行威脅建模，首先要了解貴組織的關鍵資產，以及最有可能將其作為目標的對手。先識別需要保護的高價值資料、系統與營運元件。將這些資產對應到其運作所在的相關技術平台，例如 Windows、Linux、雲端服務或行動裝置。

您必須研究哪些威脅群組會主動鎖定您的產業領域或地理區域。此框架維護已知對手群組的詳細設定檔，包括其偏好的戰術、技術與程序。您可以將這些群組設定檔與已識別的關鍵資產交叉比對，建立專屬於您組織的客製化威脅模型。

缺口評估與對應

首先，盤點您整體基礎架構中現有的安全控制與偵測能力。將這些控制對應到其所涵蓋的特定 ATT&CK 技術，建立一個涵蓋矩陣，以顯示您目前能夠偵測或防止哪些對手行為。

識別您防禦涵蓋範圍中的缺口。將您目前的能力與相關威脅群組所使用的技術進行比較。特別留意那些在您的威脅模型中可見度高，但缺乏足夠偵測或緩解措施的技術。

根據每項 ATT&CK 技術中建議的資料來源，評估您的資料來源與日誌蒐集能力。許多組織發現，他們現有的記錄或監控不足以偵測某些對手行為。記錄您需要導入或強化哪些資料來源，以提升涵蓋範圍。

偵測工程

使用 MITRE ATT&CK 進行偵測工程，涉及建立分析與規則，以識別您環境中的對手行為。首先從您的威脅模型與缺口評估結果中，選擇高優先順序的技術。

針對每項技術，檢視偵測章節以了解您需要哪些資料元件與來源。此框架提供具體指引，說明哪些成品、日誌與遙測來源可揭露每項技術的實際運作。建立偵測規則時，應尋找這些行為指標，而不只是特定工具或特徵碼。

透過以 Sigma 或您的 SIEM 原生支援語言等可攜式格式撰寫規則，實作 detection-as-code 作法。在規則中繼資料內納入 ATT&CK 技術對應，以維持偵測與框架之間的可追溯性。您可以使用各種工具測試偵測，或使用自訂指令碼安全地模擬您想要偵測的技術。

紅隊與藍隊應用

紅隊已能使用 MITRE ATT&CK 框架設計有效的攻擊活動，以反映真實世界中的對手行為。從相關威脅群組中選擇技術，建立可測試特定防禦能力的攻擊情境。在規劃階段，將您預定的活動對應到 ATT&CK 技術，然後在行動期間記錄您成功執行了哪些技術。

建立一套涵蓋追蹤系統，有時稱為「ATT&CK Bingo」，以監控多個活動中哪些技術已接受測試。目標是在每次演練中引入 3-5 項新技術，讓藍隊持續面對多樣化攻擊模式的挑戰。

藍隊可以透過為紅隊可能使用的技術實作偵測與回應程序，為演練做好準備。

MITRE Attack Framework 的使用案例

以下是組織使用 MITRE Attack Framework 的不同案例：

企業安全營運

您可以將威脅情報摘要與近期威脅行為者活動匯入 MITRE ATT&CK Navigator 的圖層中，以強化您的網路安全策略。您可以為企業面臨的每個威脅行為者建立個別圖層。這有助於您決定應使用哪些防禦來對抗哪些攻擊方法。

您也可以對應安全控制並找出偵測能力中的缺口。標示任何涵蓋區域，並快速找出偵測缺口。您可以依特定攻擊情境自訂圖層，也可以隨時間更新它們，以追蹤您的回應成熟度如何提升。

事件回應與鑑識

安全專業人員可在事件回應調查期間使用此框架，系統化地識別並追蹤整個攻擊生命週期中的攻擊者行動。當事件發生時，回應人員可以快速找出對手使用的方法並預測可能的下一步，從而加快遏制與修復階段。

數位鑑識團隊可使用它來建立完整的安全事件全貌。它可協助他們判定事件範圍，並識別所有受影響的系統與資料。您會發現，在 ATT&CK 情境下記錄事件，可建立更完善的事件後檢討。

威脅狩獵

您可以將現有控制對應到 ATT&CK 技術，以精確找出弱點與需要強化的區域。

您可以建立視覺化熱圖，以不同顏色顯示每項技術的涵蓋程度，範圍從完全緩解到完全未涵蓋。這些視覺化呈現可快速且直觀地理解防禦優勢與弱點。

此框架可協助組織追蹤特定威脅行為者群組及其採用的技術，為威脅狩獵與事件回應服務提供資訊。您可以分析不同對手群組的行為模式，以更深入了解其目標與意圖。

產業特定範例

MITRE ATT&CK 被醫療保健公司用於偵測其網路中未被發現的橫向移動。金融機構使用它來對應交易中的活動與惡意行為。能源公司使用 ATT&CK 的對手模擬計畫來揭露工業控制系統中的關鍵弱點。

政府機關也使用 ATT&CK 框架，透過模擬攻擊情境訓練網路安全團隊，以強化其防禦策略。  執法機關則參考此框架來分析網路犯罪戰術並提升其調查能力。

MITRE ATTACK 工具與資源

MITRE Engenuity 僅發布評估的原始資料結果。如何解讀資料並得出結論，取決於讀者。SentinelOne 團隊提供了一份白皮書 MITRE ATT&CK Evaluation – Carbanak and Fin7 以協助理解結果。您也可以在其中閱讀不同的 MITRE attack 步驟。

MITRE ATTACK 評估

MITRE ATTACK 評估將協助您做出更明智的安全決策。它們是您保護組織免受已知對手侵害的資源。第六次評估檢視了 2024 年大量勒索軟體活動中常見的行為。內容包括 macOS 的介紹、深入探討受朝鮮民主主義人民共和國 (DPRK) 鎖定 macOS 啟發的對手行為等。

MITRE ATTACK 技術會依邏輯步驟執行，並提供 ATT&CK 涵蓋範圍的深度。Evaluations 方法論透過讓客戶更了解對手並做好應對準備，彌合安全解決方案供應商與其使用者/客戶之間的落差。

MITRE ATTACK 如何評估安全產品？

MITRE ATT&CK Evaluations 透過在逼真的實驗室環境中模擬對手於真實世界使用的戰術與技術，來評估安全產品。它提供關於安全解決方案如何運作的公正且透明的資料，而非僅有簡單的排名或分數。其對手模擬會根據已知威脅群組的戰術、技術與程序（TTPs）重建網路攻擊。它可以針對攻擊的每個階段分類產品效能，並突顯不同層級的可視性與情境脈絡。

供應商可以直接解讀框架發布的結果。他們可以了解自身的優勢與弱點，並理解不同的偵測類型與角度，以獲得完整全貌。他們也能掌握其偵測品質，並了解偵測如何在無需人工介入或無重大延遲的情況下發生。您也可以比較您的使用案例，並使用此框架評估特定供應商在不同產業中對抗特定威脅群組時的表現。

為什麼 MITRE ATTACK 評估很重要？

MITRE ATT&CK 評估之所以重要，是因為它能對您的安全產品、供應商與策略提供透明、獨立且貼近實際的評估。它不同於競爭性評比，因為您可獲得深入資料。您可以做出明智的安全決策，並取得清楚且客觀的洞察，以驗證並改善您的安全態勢。

您可以找出現有防禦中的盲點，並優先投入資源以彌補缺口。透過評估安全產品的真實能力，您不會被行銷手法誤導，而能看清其實際表現。MITRE ATT&CK Framework 技術也可用於對應攻擊行為，並協助安全營運中心 (SOC) 團隊改善其事件回應與威脅狩獵工作。

結論

在說明 MITRE attack framework 之後，您現在已清楚了解如何看待安全解決方案的排名。如果您想知道某家供應商有多優秀，或您的安全產品在業界處於何種地位，那麼使用 MITRE ATT&CK 評估會是很好的起點。SentinelOne 已在 2024 MITRE ATT&CK® Evaluations: Enterprise 中證明其在防禦複雜網路威脅方面的實力。其產品連續五年達成少 88% 雜訊、100% 偵測率與零延遲。SentinelOne 偵測到全部 16 個攻擊步驟與 80 個子步驟，證明該平台可防禦進階且真實世界中的網路威脅。

它也依據 MITRE ATT&CK 框架，在 Windows、Linux 與 MacOS 上針對攻擊者行動提供最細緻的洞察。若要了解更多資訊，請洽詢 SentinelOne 團隊。