Покрытие матрицы MITRE ATT&CK

В KUMA доступно обогащение событий информацией о техниках и тактиках MITRE ATT&CK. Обогащение этими данными позволяет проанализировать покрытие матрицы MITRE ATT&CK, уделяя внимание наиболее релевантным техникам для конкретной инфраструктуры. Когда придет новый алерт с разметкой по MITRE ATT&CK, вы можете открыть сайт MITRE ATT&CK и ознакомиться с описанием техник и тактик, когда, каким образом и для чего злоумышленники могут использовать эти техники, как их обнаруживать и управлять рисками – все это поможет выработать план реагирования. Также вы можете строить отчеты и панели мониторинга, исходя из того, какие алерты и техники были замечены в инфраструктуре.

Если вы хотите оценить покрытие матрицы MITRE ATT&CK вашими корреляционными правилами, выполните следующие шаги:

  1. Скачайте справочник техник MITRE из официального хранилища MITRE ATT&CK и импортируйте справочник техник MITRE в KUMA.
  2. Добавьте в корреляторе правила обогащения MITRE, которые входят в поставку SOC_package.
  3. Привяжите техники MITRE ATT&CK к правилам корреляции.
  4. Экспортируйте правила корреляции в MITRE ATT&CK Navigator.

В результате вы сможете визуально оценить покрытие матрицы MITRE ATT&CK.

Импорт списка техник MITRE ATT&CK

Импорт списка техник MITRE ATT&CK доступен только пользователю с ролью Главный администратор.

Чтобы импортировать список техник MITRE ATT&CK:

  1. Скачайте справочник техник MITRE ATT&CK на портале GitHub.

    KUMA версии 3.2 поддерживает работу только со справочником техник MITRE ATT&CK версии 14.1.

  2. В Консоли KUMA перейдите в раздел Параметры → Общие.
  3. В разделе Настройки списка техник MITRE нажмите на кнопку Импортировать из файла.

    Откроется окно выбора файлов.

  4. Выберите скачанный справочник техник MITRE ATT&CK и нажмите на кнопку Открыть.

    Окно выбора файлов закроется.

Список техник MITRE ATT&CK будет импортирован в KUMA. Вы можете увидеть список импортированных техник и версию справочника техник MITRE ATT&CK, нажав на кнопку Просмотреть список.

Добавление в корреляторе правил обогащения MITRE

Чтобы добавить правила обогащения MITRE из пакета SOC_package:

  1. В разделе KUMA Ресурсы и сервисы → Корреляторы нажмите Добавить, чтобы создать коррелятор, или выберите действующий коррелятор в списке, чтобы перейти в режим редактирования параметров.
  2. В мастере установки коррелятора на шаге Обогащение нажмите Добавить обогащение.
  3. В открывшемся окне Обогащение в раскрывающемся списке Правило обогащения выберите правила MITRE Technique и MITRE Tactics.

    Правила обогащения MITRE Technique и MITRE Tactics преднастроены, никаких дополнительных параметров указывать не требуется.

  4. Сохраните параметры коррелятора.
  5. Если вы создали коррелятор, необходимо выполнить установку сервиса коррелятора на устройстве. Если вы редактировали параметры действующего коррелятора, сервис коррелятора необходимо перезапустить.

Правила обогащения MITRE Technique и MITRE Tactics добавлены.

Привязка техник MITRE ATT&CK к правилам корреляции

Чтобы привязать техники MITRE ATT&CK к правилам корреляции:

  1. В Консоли KUMA перейдите в раздел Ресурсы→ Правила корреляции.
  2. Откройте окно редактирования правила корреляции, нажав на имя правила корреляции.

    Откроется окно редактирования правила корреляции.

  3. Во вкладке Общие при нажатии на поле Техники MITRE откроется список доступных техник. Для удобства поиска доступен фильтр: в поле можно ввести название техники, ID техники или тактики. Для привязки к правилу корреляции доступна одна или несколько техник MITRE ATT&CK.
  4. Нажмите на кнопку Сохранить.

Техники MITRE ATT&CK будут привязаны к правилу корреляции. В веб-интерфейсе в разделе Ресурсы→ Правила корреляции в столбце Техники MITRE у отредактированного правила отобразится ID выбранной техники, а при наведении курсора на элемент отобразится полное название техники с указанием ID техники и тактики.

Экспорт правил корреляции в MITRE ATT&CK Navigator

Чтобы экспортировать правила корреляции с привязанными техниками в MITRE ATT&CK Navigator:

  1. В Консоли KUMA перейдите в раздел Ресурсы→ Правила корреляции.
  2. В правом верхнем углу нажмите на кнопку больше.
  3. В раскрывающемся списке нажмите на кнопку Экспортировать в MITRE ATT&CK Navigator.
  4. В открывшемся окне выберите правила корреляции, которые вы хотите экспортировать.
  5. Нажмите на кнопку OK.

    Файл с экспортированными правилами будет загружено на ваше устройство.

  6. Загрузите файл с вашего устройства в MITRE ATT&CK Navigator для оценки покрытия матрицы MITRE ATT&CK.

Вы можете произвести проверку покрытия матрицы MITRE ATT&CK.

В начало