关于ATT&CK

最新推荐文章于 2024-01-22 13:00:00 发布
最新推荐文章于 2024-01-22 13:00:00 发布
阅读量2.8k 收藏 5
点赞数 2
分类专栏： # ATT&CK
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Ga4ra/article/details/104078570
版权

文章目录

Adversarial Tactics, Techniques, and Common Knowledges

https://attack.mitre.org/

1. 框架简介

ATT&CK模型分为三部分，在网站的techniques一栏：

  • PRE-ATT&CK，覆盖Kill Chain模型的前两个阶段
    1. recon
    2. weaponize
  • ATT&CK for Enterprise，有win/mac/linux/cloud平台，覆盖Kill Chain的后五个阶段：
    3. Deliver
    4. Exploit
    5. Control
    6. Execute
    7. Maintain
  • ATT&CK for Mobile，android/ios两大平台，包含适用于移动设备的战术和技术。

总体来说，ATT&CK模型是在洛克希德-马丁公司提出的KillChain模型的基础上，构建了一套更细粒度、更易共享的知识模型和框架。 不一样的是，ATT&CK并没有遵循任何线性顺序。

该框架囊括12列战术:

  1. Initial Access
  2. Execution
  3. Persistence Privilege
  4. Escalation
  5. Defense Evasion
  6. Credential Access
  7. Discovery
  8. Lateral Movement
  9. Collection
  10. Command and Control
  11. Exfiltration
  12. Impact

每列下面列出了单独的技术，一共330种具体技术，每种技术都有唯一的ID号码。

框架中的战术使用没有严格的顺序，实际中，可灵活组合，基于此框架自定义攻击者入侵的3D行为模型:

  • x轴：战术（Tactic），攻击行为的目标。
  • y轴：技术（Technique），为完成战术目标使用的具体手法 。
  • z轴：过程（Procedure），完成技术手法的具体实现。

关于技术细节的描述：https://attack.mitre.org/techniques/enterprise/

1.1 攻击序列

一个攻击序列按照战术，至少包含一个技术，并且通过从左侧（初始访问）向右侧（影响）移动，就构建了一个完整的攻击序列。一种战术可能使用多种技术。例如，攻击者可能同时尝试鱼叉式网络钓鱼攻击中的钓鱼附件和钓鱼链接。
tactic:
Initial Access
Discovery
Collection
technique:
Spearphishing Link
Remote System Discovery
Data from Network Shared Drive

1.2 导航

https://mitre-attack.github.io/attack-navigator/enterprise

ATT＆CK导航可用于映射针对某技术的控制措施。可以添加不同的层，来显示特定的检测控制措施、预防控制措施甚至观察到的行为。可以在线快速搭建模型或者下载下来作为持久化方案。

2. Tactics

IDNameDescription
TA0001Initial AccessThe adversary is trying to get into your network.
TA0002ExecutionThe adversary is trying to run malicious code.
TA0003PersistenceThe adversary is trying to maintain their foothold.
TA0004Privilege EscalationThe adversary is trying to gain higher-level permissions.
TA0005Defense EvasionThe adversary is trying to avoid being detected.
TA0006Credential AccessThe adversary is trying to steal account names and passwords.
TA0007DiscoveryThe adversary is trying to figure out your environment.
TA0008Lateral MovementThe adversary is trying to move through your environment.
TA0009CollectionThe adversary is trying to gather data of interest to their goal.
TA0011Command and ControlThe adversary is trying to communicate with compromised systems to control them.
TA0010ExfiltrationThe adversary is trying to steal data.
TA0040ImpactThe adversary is trying to manipulate, interrupt, or destroy your systems and data.

有人认为，在所有ATT&CK战术中，持久化Persistence是最应该关注的战术之一。

2.1 Initial Access

从PRE-ATT&CK到ATT&CK的理想过渡点。

措施：

  • 控制管理员权限的使用
  • 电子邮件和Web浏览器保护
  • 帐户监视和控制

2.2 Execution

并非所有恶意软件都是可以用杀毒软件轻松查找其恶意可执行文件。

应用白名单是缓解恶意软件攻击时最有用的控制措施，但局限性高。

2.3 Persistence

持久化是最受攻击者追捧的技术之一。攻击者希望尽可能减少工作量，包括减少访问攻击对象的时间。即便运维人员采取重启、更改凭据等措施后，持久化仍然可以让计算机再次感染病毒或维护其现有连接。

注册表Run键、启动文件夹是最常用的技术，这些注册表键或文件系统位置在每次启动计算机时都会执行。因此攻击者在启动诸如Web浏览器或Microsoft Office等常用应用时开始获得持久化。

还有使用“镜像劫持（IFEO）注入”等技术来修改文件的打开方式，在注册表中创建一个辅助功能的注册表项，并根据镜像劫持的原理添加键值，实现系统在未登录状态下，通过快捷键运行自己的程序。

such as replacing or hijacking legitimate code or adding startup code.

如果企业在终端上发现恶意软件并将其删除，很有可能它还会重新出现。可能的原因：

  • 有漏洞还未修补
  • 攻击者已经在此或网络上的其它地方建立了持久化。

2.4 Privilege Escalation

利用系统漏洞达到root级访问权是攻击者核心目标之一。一些技术需要系统级的调用才能正确使用，Hooking和进程注入就是两个示例。该战术中的许多技术都是针对被攻击的底层操作系统而设计，要缓解可能很困难。

措施：

  • 加固，可参考CIS（Comprehensive Intranet Security）
  • 审计日志

2.5 Defense Evasion

截至目前，防御绕过所拥有的技术是MITRE ATT&CK框架所述战术中最多的。

禁用安全工具、文件删除和修改注册表都是可以利用的技术。

措施:

  • 监视终端上的更改
  • 收集关键系统的日志

2.6 Credential Access

攻击者很想获取凭证。犹如小偷进入房子，如果能够找到钥匙开门，没人会愿意砸破窗户方式进入。

攻击者入侵一个系统、窃取本地哈希密码并破解本地管理员密码并不鲜见。

措施：

  • 采用复杂密码是最简单的办法
  • 多重验证

2.7 Discovery

“发现”战术与洛克希德·马丁网络Kill Chain的侦察阶段有很多相似之处，且难以防御。

措施：

  • 白名单
  • 放置虚假信息
  • 监视

2.8 Lateral Movement

攻击者通常会先寻找一个落脚点，然后开始在网络或各个系统中移动，寻找更高的访问权限。

措施：

  • 网络分段。将关键系统、通用用、系统管理员分别放置在三个子网中；
  • 在终端和交换机级别都设置防火墙；
  • 控制管理员权限，严格控制管理员凭据的使用方式和位置
  • 审计日志。比如，Kerberos黄金票证密码已重置两次，这可能表明存在票据传递攻击。

2.9 Collection

ATT&CK缺少减轻这些技术的实际指导。

大概措施：

  • 加强对企业存储敏感数据位置的保护；
  • 查看更多的日志记录

2.10 Command and Control

攻击者一般都是从远程位置访问网络，通过命令和控制权来渗透数据。

措施：

  • 防火墙。一些恶意软件家族会在不常见的网络端口上隐藏流量，或者使用80和443等端口来尝试混入网络噪音中。防火墙不会阻止所有攻击，但有助于过滤一些常见的恶意软件。

如果边界防火墙无法提供威胁情报，则应将防火墙或边界日志发送到日志服务处理中心，安全引擎服务器可以对该级别数据进行深入分析。例如Splunk等工具为识别恶意命令和控制流量提供了良好的方案。

2.11 Exfiltration

与“收集”战术一样，ATT&CK缺少指导意见。

并不是所有恶意软件都能到达“数据渗漏”这个阶段，例如勒索软件。

措施：

  • 建立网络入侵检测或预防系统有助于识别何时传输数据，尤其是在攻击者窃取大量数据（如客户数据库）的情况下。
  • 如果企业组织机构要处理高度敏感的数据，那就限制外部驱动器的访问权限，例如USB接口，限制其对这些文件的访问权限，即可禁用他们装载外部驱动器的功能。

2.12 Impact

影响。

在某些情况下，业务流程可能看起来很好，但可能已经被篡改。

攻击者可能破坏特定系统数据和文件，从而中断系统服务和网络资源的可用性，这时可以考虑实施IT灾难恢复计划。

3. 映射

映射就是在ATT&CK矩阵中做匹配，分为两部分：

  • 人工映射，更准确；
  • 自动化映射，基于AI，更符合实际环境。

有安全研究员认为可以从四个角度进行入手：

  • 环境，如系统，执行环境（命令，内存，sql）；
  • 操作，如文件释放，数据修改，网络请求，类似病毒行为分析；
  • 操作对象，如文件，注册表；
  • 特征，匹配ATT&CK的技术ID后就可以映射。

4. CTI Training

MITRE在github开源了一个cti项目，里面恰好有我们所需的数据。链接在官网/resources/training/cti目录可以找到。

https://github.com/mitre/cti

/enterprise-attack/attack-pattern下每个json代表一个Technique的详细信息，具体含义参考readme。

cti包括5个模块，并附带视频和练习。全部完成预计需要4小时。

什么是ATTCK以及其核心的组件
AI拉呱，专注于人工智与网络安全方面的研究，关注一起学习。
03-13 139
含义:一般为网络流量中或者操作系统上观察到的能高度表明计算机被入侵的痕迹.将这些特征收集整理为库,下次再表现如此特征就确定计算机已经被入侵了.
ATT&CK相关知识
热门推荐
fufu_good的博客
01-30 8万+
ATT&CK相关背景 经过数年的知识积累，ATT&CK已经从针对企业内网的、Windows平台的、终端侧的、post-compromise行为分析模型，拓展为多场景（企业内网、移动环境等）、多平台（Windows、Linux、macOS等）、针对多源数据（终端、网络、文件等）、攻击链全生命周期的行为分析模型。兼具丰富的实战效用和可拓展的顶层模型设计，ATT&CK越发得到安全...
att&ck是什么，特点是啥
gofreshman的博客
09-30 9730
att&ck相关文献阅读笔记 ATT&CK是由MITRE创建并维护的一个对抗战术和技术的知识库，全称 Adversarial Tactics, Techniques, and Common Knowledge, 简称ATT&CK。这个知识库是由社区驱动的，并且是公开免费、全球可访问的知识库。 ATT＆CK是针对网络攻击行为的精选知识库和模型，反映了攻击者攻击生命周期以及各个攻击阶段的目标，由以下核心组件组成: 战术（Tactics）：表示攻击过程中的短期战术目标； 技术（Techni
ATT&CK框架
qq_40216188的博客
02-28 2万+
ATT&CK框架一、ATT&CK框架1.1、侦查Reconnaissance-包含10项技术1.2、资源开发Resource Development-包含6项技术1.3、初始访问Initial Access-包含9项技术 一、ATT&CK框架 序号 战术 战术功能 1 侦察 信息收集 2 资源开发 建立攻击者行动所需资源 3 初始访问 进入目标网络，获取一个入口 4 执行 运行恶意代码 5 持久化 保持攻击立足点 6 权限提升 获取最高权限 7
什么是ATT&CK
qq_44833342的博客
05-29 503
ATT&CK框架将这些攻击方法按照攻击者的行为分为不同的阶段，包括初始访问、执行、持久化、凭证访问、发现、横向移动、收集、指令与控制与漏洞利用等。通过使用ATT&CK框架，安全专业人员可以更好地了解黑客攻击的行为模式，并采取相应的防御措施，以保护企业和组织的网络和系统安全。开源框架，用于描述和分类黑客攻击的战术、技术和常见知识。该框架包含了各种攻击者可能使用的技术和方法，包括渗透测试、间谍活动、勒索软件和其他恶意软件攻击等。
简单讲解一下什么是ATT&CK框架
tangshuangsss的专栏
04-06 1万+
点击"仙网攻城狮”关注我们哦~不当想研发的渗透人不是好运维让我们每天进步一点点简介ATT&CK框架由“MITRE”安全组织提出并列出了APT(高级可持续威胁攻击)的14个阶...
ATT&CK手册(修改版)
09-16
**ATT&CK手册(修改版)** ATT&CK（Adversarial Tactics, Techniques & Common Knowledge）是由美国非营利组织MITRE Corporation开发的一种框架，用于描述和分类网络攻击者的行为战术、技术和过程（TTPs）。这个框架...
ATT-CK-CN：ATT＆CK实操
02-05
ATT&CK框架是一种知识库，收集了各种先进持续威胁（APT）组织的已知攻击行为，为安全专业人员提供了对这些攻击手段的理解和防御策略。 【标签】： 1. security：网络安全是整个讨论的核心，包括网络防御策略和最佳...
ATT&CK中文手册.zip
11-24
一、Initial Access(入口点) 二、Execution(命令执行) 三、Persistence(持久化) 四、Privilege Escalation(权限提升) 五、Defense Evasion(绕过防御) 六、Credential Access(获取凭证) 七、Discovery(基础信息收集) ...
ATT&CK手册.pdf
09-20
本手册涉及的核心概念是ATT&CK模型，这是一种由MITRE Corporation开发的攻击框架，用于对攻击者在渗透和入侵过程中使用的手法、技术和程序进行分类和描述。ATT&CK手册将网络安全的视角从防御转向了攻击者的行为，为...
「 网络安全常用术语解读 」网络攻击者的战术、技术和常识知识库ATT&CK详解
所有成功的背后，都是痛苦的坚持，所有的痛苦，都是傻瓜般的不放弃!
01-22 2320
ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）是一个针对现实世界观察总结得到网络攻击者的战术、技术和常识知识库。它由美国网络安全公司MITRE开发，旨在帮助网络安全专业人员更好地了解和应对网络威胁。ATT&CK知识库被用作私营部门、政府以及网络安全产品和服务社区中特定威胁模型和方法的开发基础。ATT&CK当前最新版本为 v14，发布于2023年10月31，后续也会持续更新。
ATT&CK 实战（一）
GoDunTong's Blog
03-20 1519
一、环境搭建 1.环境搭建测试 红日靶场地址 1.1 网络所示 2.信息收集 2.1 端口扫描 nmap扫描web主机端口，发现开放了80、3306，大部分端口被过滤，判断存在防火墙。 2.2 WEB站点探测 WEB服务一直访问不了，发现phpstudy服务掉了，重启一下。 发现phpstudy探针泄露大量敏感信息，目标站点为yxcms的站点。 yxcms app 1.4.6 漏洞集合 二、漏洞利用 3.漏洞搜索与利用 3.1 弱口令漏洞登录后台 DirBuster扫描网站目录，得到后台地址：htt
网络安全框架：ATT&CK框架介绍、结构、应用和未来发展趋势
SteveRocket's-Blog
05-12 2568
“ ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）框架是一种用于描述和分类攻击者行为的结构化方法。该框架由MITRE公司开发，旨在帮助安全团队更好地理解和应对威胁行为。本文将详细介绍ATT&CK框架的起源、结构、应用和未来发展趋势。” ATT&CK框架的起源 ATT&CK框架最初由美国国防部的研究人员在2001年开发，用于描述和分类网络攻击的方式和技术。随着时间的推移，该框架逐渐被广泛使用，并在2013年由MITRE公司接管管理
攻防演练学习之浅析ATT&CK和Cyber Kill Chain
ZL_1618的博客
08-01 2647
以前也时不时会在freebuf上看文章，但是一直没发过。忽然发现freebuf可以自由投稿。先把以前在同名公众号（非典型产品经理笔记）上写的原创内容，挑一部分发一下。后续新内容会考虑同步在freebuf上发送。本系列当前共14篇。理解事物从描述开始。要理解一件事情，首先要能描述它，不可描述的事情，显然很难被解析、被应对，难以发展和演进。网络攻防因其抽象性，更是如此。下图为洛克希德·马丁公司官网(
ATT&CK（对抗性战术，技术和公共知识库）
一智哇的博客
03-23 6171
ATT&CK
云原生Att&ck矩阵
weixin_45540609的博客
08-10 2218
转载自：https://developer.aliyun.com/article/765449?groupCode=aliyunsecurity 一、云上容器ATT&CK攻防矩阵概览 ATT＆CK®框架（Reference ATTACK Matrix for Container on Cloud）是网络攻击中涉及的已知策略和技术的知识库。为便于企业构建容器化应用安全体系，阿里云在传统主机安全的基础上，围绕自建容器集群以及云原生容器服务场景，通过全面分析黑客攻击Docker和K8s的过程和手段，推
十大最常见的ATT&CK战术及技术
xnxqwzy的博客
08-01 2518
ATT&CK框架是一个网络安全综合性知识库,通过对攻击生命周期各阶段的实际观察，从而对攻击者行为进行理解与分类，已成为研究威胁模型和方法的基础工具。随着厂商及企业对该框架的广泛采用，ATT&CK知识库已公认成为了解攻击者的行为模型与技术权威。Picus研究人员从各种来源收集了超过二十万真实世界威胁样本，确定了样本的战术、技术和程序(TTP)，并对每个TTP进行了分类，所有样本超过180万种ATT&CK技术。PicusLabs针对此研究发布了Red。
做网络安全居然不了解ATT＆CK？这篇文章的介绍详细到令人尖叫
博文视点（北京）官方博客
01-14 7435
在网络安全领域，攻击者始终拥有取之不竭、用之不尽的网络弹药，可以对组织机构随意发起攻击；而防守方则处于敌暗我明的被动地位，用有限的资源去对抗无限的安全威胁，而且每次都必须成功地阻止攻击者的攻击。基于这种攻防不对称的情况，防守方始终会被以下问题（如图1所示）所困扰： 我们的防御方案有效吗？ 我们能检测到APT攻击吗？ 新产品能发挥作用吗？ 安全工具覆盖范围是否有重叠呢？ 如何确定安全防御优先级？ 图1 防守方的困局 一直以来，没有人能够很好地回答图1中的问题，直到MITRE ATT&CK的出现。
ATT&CK
最新发布
03-14
### MITRE ATT&CK Framework in Cybersecurity MITRE ATT&CK框架是一个全球广泛使用的知识库，它描述了对手在网络攻击中的行为模式和技术细节。该框架旨在帮助组织理解并抵御各种类型的网络威胁。 #### 深入解析ATT&CK框架的作用与价值 基于黑客行为的知识库使得安全运营团队能够更加全面地评估自身的防御能力和检测响应机制的效果[^1]。这有助于从根本上解决长期困扰着许多企业和机构的安全挑战——即如何有效地衡量现有防护措施的有效性和针对性改进方案的设计实施情况。 #### ATT&CK框架的具体组成部分 当前存在三种不同版本的ATT&CK模型： - **ATT&CK for Enterprise**：涵盖了多种操作系统环境下的战术和技术手段，如Windows、Linux以及macOS等； - **ATT&CK for Mobile**：专注于移动端设备上的特定攻击方式； - **ATT&CK for ICS**：则面向工业控制系统领域内的特殊需求和应用场景[^3]。 每种模型都提供了详细的矩阵视图，列出了各个阶段可能遇到的不同种类的技术手法及其对应的缓解建议。 #### 结合其他概念的应用实例 当考虑网络安全策略时，除了利用ATT&CK框架外还可以引入STRIDE这样的方法论来进行更细致的风险评估工作。STRIDE是由微软提出的另一种有效的威胁建模工具，在实际操作过程中可以帮助识别潜在风险点，并据此制定相应的防范计划[^2]。 此外，对于具体的攻击事件而言，还需要考虑到诸如时间线、发展阶段（参照“网络杀伤链”）、方向性等因素的影响。这些方面共同构成了对一次完整的攻击过程的理解基础，从而支持更为精准的情报收集与应急处理流程设计[^4]。 ```python # Python代码示例展示如何获取ATT&CK数据 import requests def get_attack_data(): url = 'https://attack.mitre.org/api/v1/matrices/enterprise' response = requests.get(url) if response.status_code == 200: data = response.json() return data['objects'] else: print(f"Failed to fetch data with status code {response.status_code}") return None if __name__ == "__main__": result = get_attack_data() if result is not None: for item in result[:5]: print(item["name"]) ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值