ATT&CK - 入门

20200922 -

0. 引言

这篇文章记录ATT&CK的一些材料阅读，不过题目没有非常明确。因为这部分仅仅是记录了一篇文章，不过这篇文章是一系列文章的第一小节，大题目就是Getting Started的部分，所以，这篇文章就命名为入门。

1. ATT & CK在威胁情报的应用

本部分内容参考学习了文章《Getting Started with ATT&CK: Threat Intelligence[1]》。现在众多的安全团队在使用威胁情报（CTI，Cyber Threat Intelligence》来辅助安全防御，但威胁情报绝不仅仅是找几个IOC作为黑名单就完事的问题。情报应该是一套完整的信息链，例如一条APT组织行动的情报，就应该包括其所使用的战术，技术，攻击的目标，甚至于最终的决策建议等。文章[1]简单介绍了如何利用ATT&CK针对不同的团队在威胁情报上进行应用，其按照团队的规模分为了三个层次。

1.1 Level1

在较小的威胁情报团队上，可以针对自己公司的性质，例如金融，政府等类别，搜索相关的APT组织，然后定位他们在APT攻击行动中所使用的战术及技术，通过定位他所使用的技术来进行定向的防御。本质上，威胁情报辅助安全人员能够了解对抗方所使用的技术，来辅助提高安全决策的能力。

1.2 Level2

在有一定基础的威胁情报团队上，可以自行按照（公开的）应急相应报告或者其他安全报告将其映射至ATT&CK矩阵，而不是使用其他人已经形成的报告。通过这种方式，能够让团队更清晰自己公司的要求和定位。

1.3 Level3

在比较成熟或者高级的团队上，可以将自己公司的信息映射到ATT&CK矩阵上，让自己的防护团队更明确防护的目标。

1.4 小节

其实我觉得，Level2和Level3是很像的，都是利用相应的信息映射到ATT&CK矩阵上，只不过是成熟程度的问题。本篇文章主要就是介绍了ATT&CK在威胁情报上的应用，但实际上，我还是没有非常明确的体会到ATT&CK的重要性。就是因为这部分内容本质上没有什么非得说利用ATT&CK的过程，从中体会更深的，应该是ATT&CK提供了一套体系化的框架来使用，使具体的步骤，具体的门类更清晰的一个过程，所以这部分可能还得更具体得来学习。

2. 利用ATT&CK做检测与分析

本小节将关注文章《Getting Started with ATT&CK: Detection and Analytics[2]》，本篇文章将重点分析在自己系统中采集的数据来和ATT&CK中的内容进行比对分析。与前文一致，本部分也是按照三个等级来进行区分。

2.1 Level1

进行检测的第一个步骤，应该考虑的是，你的团队具备怎么样的数据存储和搜索能力，这部分涉及到数据源的问题。在以往的分析过程中，因为我是做流量出身，所以大部分时候我考虑的都是流量，其实还有很多内容，特别是主机上的内容，例如进程信息，注册表信息等。下面列举几个相关的工具和数据源：

• 进程和进程命令行参数等信息，在windows主机上，这部分信息可以使用sysmon，windows event logs和很多EDR平台采集
• 文件和注册表监控，前面的采集方法一致
• 认证日志，主要由windows event logs采集
• 数据包采集，其实我的想法是，如果在出入口部分部署了全流量采集的相关工具，那么完全可以仅采集进程等信息然后进行对准即可。

有了能力进行日志或者相关的信息采集之后，那么后续的研究就必须将数据整合起来，那么本质上这就是一个SIEM平台了，完全可以使用ELK来实现。
注：在前期实验过程中，可以使用一些开源的数据弥补数据的空白，具体见文章。
在进行分析的过程中，就比如使用一些工具来进行搜索，这个搜索能力就是ELK提供的，对于某些日志，可以使用一些工具，文章列举了一个工具叫做sigma。

2.2 Level2

在能够搜索数据之后，在这个步骤应该是能够按照相应的规则，或者自己的需求来进行自己编写规则进行分析。

2.3 Level3

最后一步，应该是能够形成一个闭环，让自己团队的红队进行相应的攻击，然后根据这部分内容实现检测，检测之后，告诉红队让他们进行升级再次逃避，如此往复循环下去。

2.4 小节

其实这部分内容，我没有看的很清楚。比较重要的是利用日志采集的功能实现数据汇总。这个步骤有两个点很重要，1）日志的采集；2）日志的搜索。也就是说，需要一个平台能够支持数据的灵活搜索，只有这样才能满足后续的分析过程。在日志的采集部分，因为平时的时候一直以来都是关注的流量，对windows的内容没怎么关注过，这部分我觉得注册表很重要。

最后多说几句，气质本质上，我觉来越觉得，ATT&CK仅仅是一个形式化的框架，在这部分其实我都没有太大感受到ATT&CK在其中的作用。感觉它就是一个参考，让我能对自己整体的能力有所了解。这部分还是需要更深入来体会。

参考

[1]Getting Started with ATT&CK: Threat Intelligence
[2]Getting Started with ATT&CK: Detection and Analytics