Содержание
Покрытие матрицы MITRE ATT&CK
В KUMA доступно обогащение событий информацией о техниках и тактиках MITRE ATT&CK. Обогащение этими данными позволяет проанализировать покрытие матрицы MITRE ATT&CK, уделяя внимание наиболее релевантным техникам для конкретной инфраструктуры. Когда придет новый алерт с разметкой по MITRE ATT&CK, вы можете открыть сайт MITRE ATT&CK и ознакомиться с описанием техник и тактик, когда, каким образом и для чего злоумышленники могут использовать эти техники, как их обнаруживать и управлять рисками – все это поможет выработать план реагирования. Также вы можете строить отчеты и панели мониторинга, исходя из того, какие алерты и техники были замечены в инфраструктуре.
Если вы хотите оценить покрытие матрицы MITRE ATT&CK вашими корреляционными правилами, выполните следующие шаги:
- Скачайте справочник техник MITRE из официального хранилища MITRE ATT&CK и импортируйте справочник техник MITRE в KUMA.
- Добавьте в корреляторе правила обогащения MITRE, которые входят в поставку SOC_package.
- Привяжите техники MITRE ATT&CK к правилам корреляции.
- Экспортируйте правила корреляции в MITRE ATT&CK Navigator.
В результате вы сможете визуально оценить покрытие матрицы MITRE ATT&CK.
Импорт списка техник MITRE ATT&CK
Импорт списка техник MITRE ATT&CK доступен только пользователю с ролью Главный администратор.
Чтобы импортировать список техник MITRE ATT&CK:
- Скачайте справочник техник MITRE ATT&CK на портале GitHub.
KUMA версии 3.2 поддерживает работу только со справочником техник MITRE ATT&CK версии 14.1.
- В Консоли KUMA перейдите в раздел Параметры → Общие.
- В разделе Настройки списка техник MITRE нажмите на кнопку Импортировать из файла.
Откроется окно выбора файлов.
- Выберите скачанный справочник техник MITRE ATT&CK и нажмите на кнопку Открыть.
Окно выбора файлов закроется.
Список техник MITRE ATT&CK будет импортирован в KUMA. Вы можете увидеть список импортированных техник и версию справочника техник MITRE ATT&CK, нажав на кнопку Просмотреть список.
Добавление в корреляторе правил обогащения MITRE
Чтобы добавить правила обогащения MITRE из пакета SOC_package:
- В разделе KUMA Ресурсы и сервисы → Корреляторы нажмите Добавить, чтобы создать коррелятор, или выберите действующий коррелятор в списке, чтобы перейти в режим редактирования параметров.
- В мастере установки коррелятора на шаге Обогащение нажмите Добавить обогащение.
- В открывшемся окне Обогащение в раскрывающемся списке Правило обогащения выберите правила MITRE Technique и MITRE Tactics.
Правила обогащения MITRE Technique и MITRE Tactics преднастроены, никаких дополнительных параметров указывать не требуется.
- Сохраните параметры коррелятора.
- Если вы создали коррелятор, необходимо выполнить установку сервиса коррелятора на устройстве. Если вы редактировали параметры действующего коррелятора, сервис коррелятора необходимо перезапустить.
Правила обогащения MITRE Technique и MITRE Tactics добавлены.
Привязка техник MITRE ATT&CK к правилам корреляции
Чтобы привязать техники MITRE ATT&CK к правилам корреляции:
- В Консоли KUMA перейдите в раздел Ресурсы→ Правила корреляции.
- Откройте окно редактирования правила корреляции, нажав на имя правила корреляции.
Откроется окно редактирования правила корреляции.
- Во вкладке Общие при нажатии на поле Техники MITRE откроется список доступных техник. Для удобства поиска доступен фильтр: в поле можно ввести название техники, ID техники или тактики. Для привязки к правилу корреляции доступна одна или несколько техник MITRE ATT&CK.
- Нажмите на кнопку Сохранить.
Техники MITRE ATT&CK будут привязаны к правилу корреляции. В веб-интерфейсе в разделе Ресурсы→ Правила корреляции в столбце Техники MITRE у отредактированного правила отобразится ID выбранной техники, а при наведении курсора на элемент отобразится полное название техники с указанием ID техники и тактики.
Экспорт правил корреляции в MITRE ATT&CK Navigator
Чтобы экспортировать правила корреляции с привязанными техниками в MITRE ATT&CK Navigator:
- В Консоли KUMA перейдите в раздел Ресурсы→ Правила корреляции.
- В правом верхнем углу нажмите на кнопку
.
- В раскрывающемся списке нажмите на кнопку Экспортировать в MITRE ATT&CK Navigator.
- В открывшемся окне выберите правила корреляции, которые вы хотите экспортировать.
- Нажмите на кнопку OK.
Файл с экспортированными правилами будет загружено на ваше устройство.
- Загрузите файл с вашего устройства в MITRE ATT&CK Navigator для оценки покрытия матрицы MITRE ATT&CK.
Вы можете произвести проверку покрытия матрицы MITRE ATT&CK.
В начало