rabobank-cdc/dettectكشف التكتيكات والتقنيات والتهديدات القتالية
أحدث إصدار: 2.2.0
لبدء استخدام DeTT&CT، راجع أحد هذه الموارد:
فيديوهات
يهدف DeTT&CT إلى مساعدة الفرق الزرقاء في استخدام ATT&CK لتقييم ومقارنة جودة مصادر بيانات السجلات، وتغطية الرؤية، وتغطية الاكتشاف، وسلوكيات الجهات التهديدية. وكل ذلك يمكن أن يساعد، بطرق مختلفة، في زيادة المرونة ضد الهجمات التي تستهدف مؤسستك. يتكوّن إطار عمل DeTT&CT من أداة Python (واجهة DeTT&CT CLI)، وملفات إدارة YAML، ومحرر DeTT&CT (لإنشاء وتعديل ملفات إدارة YAML) وجداول التقييم لـالاكتشافات، ومصادر البيانات والرؤية.
يوفر DeTT&CT الوظائف التالية لمجالات ATT&CK الخاصة بالمؤسسات Enterprise وICS وMobile:
يتم إنشاء التصورات الملونة بمساعدة ATT&CK™ Navigator من MITRE. بالنسبة لملفات الطبقات التي ينشئها DeTT&CT، نوصي باستخدام عنوان URL هذا الخاص بـ Navigator لأنه سيضمن ألا تحتوي البيانات الوصفية في ملف الطبقة على تسطير أصفر: https://mitre-attack.github.io/attack-navigator/#comment_underline=false&metadata_underline=false
تم تطوير هذا المشروع وصيانته بواسطة Marcus Bakker (تويتر: @Bakk3rM) وRuben Bouman (تويتر: @rubinatorz). لا تتردد في التواصل، فالرسائل الخاصة مفتوحة. نقدّر قيامك بطرح أي سؤال حول كيفية استخدام DeTT&CT عبر إنشاء issue على GitHub. إن وجود الأسئلة والأجوبة هناك سيساعد كثيرًا الآخرين الذين لديهم أسئلة وتحديات مماثلة.
نرحب بالمساهمات! يمكن أن تكون المساهمات في الكود وفي الأفكار التي قد تكون لديك لمزيد من التطوير وتحسينات قابلية الاستخدام وما إلى ذلك.
قامت الأطراف التالية بدعم تطوير DeTT&CT بالوقت أو ماليًا.
Rabobank - بنك هولندي متعدد الجنسيات متخصص في الخدمات المالية والمصرفية. يشكل قطاعا الأغذية والزراعة التركيز الدولي الأساسي لبنك Rabobank.
تم تطوير أجزاء كبيرة من DeTT&CT خلال فترة عملنا كمتعاقدين لدى Rabobank.
Cyber Security Sharing & Analytics (CSSA) - تأسست في نوفمبر 2014 من قبل سبع شركات ألمانية كبرى كتحالف لمواجهة تحديات الأمن السيبراني بشكل مشترك واستباقي وسريع وفعال. حاليًا، تضم CSSA 13 شركة عضو.
بفضل الرعاية المالية من CSSA، أضفنا دعمًا لـ ATT&CK ICS إلى DeTT&CT.
الشرطة الوطنية الهولندية. بفضل الرعاية المالية من الشرطة الوطنية الهولندية، أضفنا دعمًا لـ ATT&CK Mobile إلى DeTT&CT.
ألهمت أعمال الآخرين بعض الوظائف داخل DeTT&CT:
مكتبة Python لملفات DeTT&CT YAML الخاصة بك.
تم بناء Dettectinator ليتم تضمينه في أدوات أتمتة SOC الخاصة بك. يمكن تضمينه كمكتبة Python أو استخدامه عبر سطر الأوامر.
يوفر Dettectinator إضافات (plugins) لقراءة الاكتشافات من SIEM أو EDR الخاص بك وإنشاء/تحديث ملف DeTT&CT YAML، بحيث يمكنك استخدامه لتصور تغطية اكتشاف ATT&CT الخاصة بك في ATT&CK Navigator.
يمكن العثور على مزيد من المعلومات على Github: Dettectinator.
تُستخدم ملفات YAML لإدارة الدرجات والخصائص ذات الصلة. ويمكن تصورها جميعًا عن طريق تحميل ملفات طبقات JSON في ATT&CK Navigator (يمكن أيضًا تصدير بعض أنواع الدرجات والخصائص إلى Excel).
انظر أدناه مثالًا لرسم خرائط مصادر بياناتك إلى ATT&CK، مما يمنحك نظرة عامة تقريبية على تغطية الرؤية لديك:
باستخدام الأمر python dettect.py generic -ds، يمكنك تحديد مصادر البيانات داخل ATT&CK التي تغطي أكبر عدد من التقنيات. ويمكن أن يكون هذا مفيدًا، على سبيل المثال، لتوجيهك في تحديد مصادر البيانات التي ستوفر لك قدرًا كبيرًا من الرؤية، وبالتالي فهي مرشح جيد لتكون متاحة في حل SIEM (أو ما شابه).
Count Data Source
--------------------------------------------------
255 Command Execution
206 Process Creation
98 File Modification
88 File Creation
82 Network Traffic Flow
78 OS API Execution
70 Network Traffic Content
58 Windows Registry Key Modification
58 Network Connection Creation
55 Application Log Content
50 Module Load
46 File Access
46 Web [DeTT&CT data source]
37 File Metadata
32 Logon Session Creation
26 Script Execution
22 Response Content
21 Internal DNS [DeTT&CT data source]
20 User Account Authentication
18 Process Access
17 Windows Registry Key Creation
17 Email [DeTT&CT data source]
15 Service Creation
15 Host Status
13 Active Directory Object Modification
12 Service Metadata
11 Process Metadata
10 Driver Load
10 File Deletion
9 Firmware Modification
9 Logon Session Metadata
9 Process Modification
8 User Account Metadata
7 Windows Registry Key Access
7 Scheduled Job Creation
7 Malware Metadata
7 Active Directory Credential Request
6 Container Creation
6 Web Credential Usage
6 Response Metadata
6 User Account Creation
6 Drive Modification
6 User Account Modification
5 Instance Creation
5 Active DNS
5 Passive DNS
5 Network Share Access
5 Drive Access
5 Service Modification
4 Image Creation
4 Instance Start
4 Active Directory Object Creation
4 Malware Content
4 Social Media
4 Domain Registration
4 Drive Creation
4 Windows Registry Key Deletion
3 Active Directory Object Access
3 Instance Metadata
3 Container Start
3 Web Credential Creation
3 Firewall Rule Modification
3 Firewall Disable
3 Instance Deletion
3 Snapshot Creation
3 Process Termination
2 Cloud Storage Enumeration
2 Cloud Storage Access
2 Pod Metadata
2 Active Directory Object Deletion
2 Cloud Service Modification
2 Cloud Service Disable
2 Certificate Registration
2 Cloud Storage Metadata
2 Instance Modification
2 Instance Stop
2 Firewall Metadata
2 Firewall Enumeration
2 Group Enumeration
2 Group Metadata
2 Image Metadata
2 Scheduled Job Metadata
2 Scheduled Job Modification
2 Kernel Module Load
2 WMI Creation
2 Group Modification
2 Driver Metadata
2 Snapshot Modification
2 Snapshot Deletion
2 Volume Deletion
2 Cloud Storage Modification
2 Cloud Service Enumeration
1 Cluster Metadata
1 Container Enumeration
1 Container Metadata
1 Pod Enumeration
1 Pod Creation
1 Pod Modification
1 Instance Enumeration
1 Snapshot Metadata
1 Snapshot Enumeration
1 Volume Metadata
1 Volume Enumeration
1 Named Pipe Metadata
1 User Account Deletion
1 Image Modification
1 Volume Creation
1 Volume Modification
1 Cloud Storage Creation
1 Cloud Service Metadata
1 Image Deletion
1 Cloud Storage Deletion
1 DHCP [DeTT&CT data source]
راجع الويكي الخاص بنا على GitHub: التثبيت والمتطلبات.