MITRE ATT&CK Framework

MITRE ATT&CK ist ein weltweit anerkanntes Framework, das die Taktiken, Techniken und Prozeduren (TTPs) von Cyber-Angreifern auf Basis realer Beobachtungen katalogisiert.

Was ist MITRE ATT&CK

Eine von der MITRE Corporation entwickelte Knowledge Base, die das Verhalten von Angreifern über 14 Taktiken und mehr als 193 Techniken dokumentiert, basierend auf Tausenden realer Vorfälle. Sie wird kontinuierlich mit neu beobachteten TTPs aktualisiert.

Die 14 Taktiken von ATT&CK

  1. Reconnaissance: Sammeln von Informationen über das Ziel
  2. Resource Development: Beschaffung von Infrastruktur und Tools
  3. Initial Access: Einstiegspunkt in das Netzwerk des Opfers
  4. Execution: Ausführung von Schadcode
  5. Persistence: Aufrechterhaltung dauerhaften Zugriffs
  6. Privilege Escalation: Erlangung erhöhter Berechtigungen
  7. Defense Evasion: Umgehung von Erkennung und Analyse
  8. Credential Access: Diebstahl von Anmeldedaten
  9. Discovery: Erkundung der kompromittierten Umgebung
  10. Lateral Movement: Bewegung zwischen Systemen
  11. Collection: Sammeln relevanter Daten
  12. Command and Control: Kommunikation mit der C2-Infrastruktur
  13. Exfiltration: Diebstahl von Daten aus dem Netzwerk
  14. Impact: Manipulation, Störung oder Zerstörung von Systemen

ATT&CK-Matrizen

  • Enterprise: Windows-, Linux-, macOS-, Cloud- und Network-Umgebungen
  • Mobile: Android und iOS
  • ICS: Industrial Control Systems und SCADA

Praktische Anwendungen

1. Detection Mapping

SIEM-Regeln, IDS-Signaturen und EDR-Detections den ATT&CK-Techniken zuordnen, um Abdeckungslücken zu identifizieren. Tools wie CALDERA und DeTT&CT unterstützen bei der Visualisierung.

2. Threat Hunting

Spezifische Techniken als Grundlage für Hunting-Hypothesen verwenden. Beispiel: Suche nach T1055 (Process Injection) durch Analyse verdächtiger Handles und Memory Allocations.

3. Red Team Emulation

Die TTPs bestimmter APT-Gruppen (z. B. APT29) simulieren, um defensive Kontrollen zu validieren. Atomic Red Team bietet eine Bibliothek automatisierter Tests pro Technik.

4. Incident-Analyse

Die Dokumentation des Angreiferverhaltens mithilfe von ATT&CK-IDs erleichtert den Austausch von Intelligence und die Korrelation mit bekannten Kampagnen.

Tools des Ökosystems

  • ATT&CK Navigator: Interaktive Visualisierung der Matrix, Coverage-Heatmaps
  • CALDERA: Plattform für automatisierte Adversary Emulation
  • Atomic Red Team: Bibliothek von Tests für ATT&CK-Techniken
  • DeTT&CT: Mapping und Scoring von Data Sources und Detections
  • ATT&CK Powered Suit: Chrome-Erweiterung für schnelle Analysen
  • MITRE Cyber Analytics Repository: Pseudocode für Detections

APT-Gruppen und Kampagnen

ATT&CK dokumentiert mehr als 140 Angreifergruppen mit ihren charakteristischen TTPs. Beispiele:

  • APT29 (Cozy Bear): Spear Phishing, WMI, PowerShell, Living off the Land
  • APT28 (Fancy Bear): Zero-Days, Credential Dumping, C2 via HTTP
  • Lazarus Group: Custom Malware, destruktive Angriffe, Diebstahl von Kryptowährungen

Control Mapping

Jede ATT&CK-Technik verfügt über dokumentierte Mitigations. Beispiel für T1003 (Credential Dumping):

  • M1027: Password Policies (MFA, lange Passwörter)
  • M1028: Operating System Configuration (LSA Protection)
  • M1043: Credential Access Protection (Credential Guard)
  • M1026: Privileged Account Management (Domain Admins begrenzen)

Data Sources

ATT&CK gibt die Data Sources an, die zur Erkennung jeder Technik erforderlich sind:

  • Process monitoring
  • File monitoring
  • Network traffic
  • Authentication logs
  • Windows Event Logs
  • PowerShell logs

SIEM-Integration

Moderne SIEMs (Splunk, Sentinel, Chronicle) bieten vorgefertigte Dashboards mit ATT&CK-Mapping. Sie ermöglichen es, die Detection-Coverage zu visualisieren und die Entwicklung von Use Cases anhand der kritischsten Techniken oder solcher mit Lücken zu priorisieren.

Einschränkungen

  • Deskriptives, nicht präskriptives Framework - es sagt nicht, was zu tun ist
  • Fokus auf Post-Exploitation, geringere Abdeckung von Network Attacks
  • Variable Granularität zwischen den Techniken
  • Deckt nicht alle Varianten jeder Technik ab

Abschließende Empfehlungen

MITRE ATT&CK sollte in alle Aspekte eines Sicherheitsprogramms integriert werden: Threat Intelligence, Detection Engineering, Hunting, Red Teaming und Incident Response. Beginnen Sie damit, die aktuellen Detections abzubilden, identifizieren Sie kritische Lücken und priorisieren Sie den Aufbau der Abdeckung für die in Ihrer Branche am weitesten verbreiteten Techniken.