干货满满 | 聊一聊ATT&CK在沙箱类产品的利用
颁布功夫 2019-11-08ATT&CK能够说是2019年网络安全行业的热点议题之一。
ATT&CK，，全称是Adversarial Tactics, Techniques, and Common Knowledges。A是Adversarial，，暗示攻击者、、、敌手；；两个T分別是Tactics和Technical，，即战术和技术；；CK是Common knowledge，，通用知识库。
ATT&CK提供了一种使用威胁建模知识库的方式，，为真实世界中攻击者的战术及技术、、、已知组织及恶意工具使用到的攻击伎俩找到对应的步骤。它有双层寓意：一方面它是基于现实世界观测的敌手战术与技术通用知识库，，另一方面其自身也是“攻击”的寓意，，批注这个模型是以攻击者视角创建的。
在ATT&CK出现之前，，就已经出现了钻石模型、、、Kill Chain模型等驰名的攻击模型，，但这些模型太抽象化，，无法和现实攻击相对应。因而，，2013年，，MITRE公司在其内部FMX项目基础上孵化出了ATT&CK项目，，并于2015年公开颁布了初版ATT&CK框架。ATT&CK能够说是在Kill Chain模型基础演出变出来的更细粒度、、、更易共享、、、加强版知识框架。
目前，，ATT&CK模型总共分为三个部门，，别离为PRE-ATT&CK、、、ATT&CK for Enterprise和ATT&CK for Mobile。其中PRE-ATT&CK重要是攻击者进行攻击筹备时的技术或战术，，覆盖Kill Chain模型的前两个阶段；；ATT&CK for Enterprise重要是Windows、、、Linux、、、MacOS，，AWS，，GCP，，Azure，，Azure AD，，Office 365，，SaaS等平台的266项攻击技术，，覆盖Kill Chain模型的后五个阶段。
一、、、ATT&CK的利用场景
ATT&CK中用处最宽泛的模型是ATT&CK for Enterprise，，重要蕴含12种战术，，即初始接见、、、执行、、、悠久化、、、特权提升、、、防御绕过、、、凭证接见、、、发现、、、横向移动、、、网络、、、号令与节制、、、泄露、、、影响。若是把这12种战术比喻成为一场真实的战争，，初始接见就相当于抢滩登录的过程；；执行、、、悠久化、、、特权提升、、、防御绕过就是篡夺和坚韧阵地的过程；；凭证接见、、、发现、、、横向移动相当于在当前阵地上持续扩大战果，，篡夺新的高地的过程；；网络、、、号令与节制、、、泄露、、、影响则是战争的最终指标达成。
在现实战斗中，，既有正面推动也战术曲折，，因而，，在一次现实攻击中，，各个战术之间没有严格的挨次，，所有的战术也不会同时出现。
那么ATT&CK到底若何利用？？？官方给出了如下利用场景：
通俗来说，，ATT&CK重要落地址重要蕴含产品层面、、、威胁谍报领域、、、安全钻研。
二、、、ATT&CK在产品中的利用
若是想产品落地，，那么必须先要拿到数据。但ATT＆CK中的技术并不是每种产品都能覆盖，，这就要看某种技术起源是什么。
从上图ATT&CK诸多技术起源方式中分析得知，，通过过程监控、、、文件监控、、、API监控、、、过程号令行监控是最多的起源，，而网络抓包、、、流检测是相对较少的起源。这也说了然ATT&CK对于沙箱类产品或终端软件的“亲切度”大于流量监控产品。
那么若何在产品中实现真正落地呢？？？我们以为重要有以下这么几个步骤。
? 评估近况
（1）凭据ATT&CK技术起源划定产品的最大覆盖领域；；
（2）将已有规定/数据映射到ATT&CK；；
（3）评估当前已映射的质量，，分辨出来哪些必要改善。
? 查漏补缺
（1）找出覆盖中的盲点；；
（2）钻研产品实现可行性，，分辨实现难度；；
（3）难度由低到高逐步补齐能力。
三、、、谈谈若何将ATT＆CK真正落地——以沙箱类产品为例
1、、、凭据ATT&CK的每项技术描述，，划定沙箱类产品能覆盖的理论最大领域。
2、、、将已有规定/数据映射到ATT&CK，，并评估当前已映射技术的质量、、、可信度，，分辨出哪些必要持续美满。
3、、、找出覆盖中的盲点。对这些盲点技术钻研产品实现可行性，，分辨实现难度，，并凭据难度逐步由低到高逐步补齐能力。
通过以上几个步骤，，就能实现ATT&CK到一个产品的落地实现。
OG东方厅天阗高级持续性威胁检测与治理系统
OG东方厅天阗高级持续性威胁检测与治理系统已经实现了ATT&CK模型的产品化落地，，目前可提供的能力如下：
在恶意文件的检测汇报中，，也能够看到相应规定会带有ATT&CK技术化标签。
作为信息安全行业领军企业，，OG东方厅一向器重对新技术及新方向钻研与索求，，积极阐扬自身优势，，不休创新，，改进产品，，提高产品对ATT&CK的覆盖广度和深度，，提升产品的有效性。
京公网安备11010802024551号