干货满满 | 聊一聊ATT&CK在沙箱类产品的利用
颁布功夫 2019-11-08ATT&CK能够说是2019年网络安全行业的热点议题之一 。
ATT&CK，全称是Adversarial Tactics, Techniques, and Common Knowledges 。A是Adversarial，暗示攻击者、敌手；两个T分別是Tactics和Technical，即战术和技术；CK是Common knowledge，通用知识库 。
ATT&CK提供了一种使用威胁建模知识库的方式，为真实世界中攻击者的战术及技术、已知组织及恶意工具使用到的攻击伎俩找到对应的步骤 。它有双层寓意：一方面它是基于现实世界观测的敌手战术与技术通用知识库，另一方面其自身也是“攻击”的寓意，批注这个模型是以攻击者视角创建的 。
在ATT&CK出现之前，就已经出现了钻石模型、Kill Chain模型等驰名的攻击模型，但这些模型太抽象化，无法和现实攻击相对应 。因而，2013年，MITRE公司在其内部FMX项目基础上孵化出了ATT&CK项目，并于2015年公开颁布了初版ATT&CK框架 。ATT&CK能够说是在Kill Chain模型基础演出变出来的更细粒度、更易共享、加强版知识框架 。
目前，ATT&CK模型总共分为三个部门，别离为PRE-ATT&CK、ATT&CK for Enterprise和ATT&CK for Mobile 。其中PRE-ATT&CK重要是攻击者进行攻击筹备时的技术或战术，覆盖Kill Chain模型的前两个阶段；ATT&CK for Enterprise重要是Windows、Linux、MacOS，AWS，GCP，Azure，Azure AD，Office 365，SaaS等平台的266项攻击技术，覆盖Kill Chain模型的后五个阶段 。
一、ATT&CK的利用场景
ATT&CK中用处最宽泛的模型是ATT&CK for Enterprise，重要蕴含12种战术，即初始接见、执杏注悠久化、特权提升、防御绕过、凭证接见、发现、横向移动、网络、号令与节造、泄露、影响 。若是把这12种战术迸作成为一场真实的战争，初始接见就相当于抢滩登录的过程；执杏注悠久化、特权提升、防御绕过就是篡夺和坚韧阵地的过程；凭证接见、发现、横向移动相当于在当前阵地上持续扩大战果，篡夺新的高地的过程；网络、号令与节造、泄露、影响则是战争的最终指标达成 。
在现实战斗中，寂仔正面推动也战术曲折，因而，在一次现实攻击中，各个战术之间没有严格的挨次，所有的战术也不会同时出现 。
那么ATT&CK到底若何利用？官方给出了如下利用场景：
通俗来说，ATT&CK重要落地址重要蕴含产品层面、威胁谍报领域、安全钻研 。
二、ATT&CK在产品中的利用
若是想产品落地，那么必须先要拿到数据 。但ATT＆CK中的技术并不是每种产品都能覆盖，这就要看某种技术起源是什么 。
从上图ATT&CK诸多技术起源方式中分析得知，通过过程监控、文件监控、API监控、过程号令行监控是最多的起源，而网络抓包、流检测是相对较少的起源 。这也说了然ATT&CK对于沙箱类产品或终端软件的“亲切度”大于流量监控产品 。
那么若何在产品中实现真正落地呢？我们以为重要有以下这么几个步骤 。
? 评估近况
（1）凭据ATT&CK技术起源划定产品的最大覆盖领域；
（2）将已有规定/数据映射到ATT&CK；
（3）评估当前已映射的质量，分辨出来哪些必要改善 。
? 查漏补缺
（1）找出覆盖中的盲点；
（2）钻研产品实现可行性，分辨实现难度；
（3）难杜咨低到高逐步补齐能力 。
三、谈谈若何将ATT＆CK真正落地——以沙箱类产品为例
1、凭据ATT&CK的每项技术描述，划定沙箱类产品能覆盖的理论最大领域 。
2、将已有规定/数据映射到ATT&CK，并评估当前已映射技术的质量、可信度，分辨出哪些必要持续美满 。
3、找出覆盖中的盲点 。对这些盲点技术钻研产品实现可行性，分辨实现难度，并凭据难度逐步由低到高逐步补齐能力 。
通过以上几个步骤，就能实现ATT&CK到一个产品的落地实现 。
沙巴天阗高级持续性威胁检测与治理系统
沙巴天阗高级持续性威胁检测与治理系统已经实现了ATT&CK模型的产品化落地，目前可提供的能力如下：
在恶意文件的检测汇报中，也能够看到相应规定会带有ATT&CK技术化标签 。
作为信息安全行业领军企业，沙巴一向器沉对新技术及新方向钻研与索求，积极阐扬自身优势，不休创新，改进产品，提高产品对ATT&CK的覆盖广度和深度，提升产品的有效性 。
京公网安备11010802024551号