Eine offene Bibliothek von Adversary-Emulation-Plänen, die Organisationen befähigt, ihre Verteidigung auf Basis realer TTPs zu testen.
In Zusammenarbeit mit den Center-Teilnehmern pflegt das MITRE Center for Threat-Informed Defense (Center) eine Bibliothek von Adversary-Emulationsplänen, die es Organisationen ermöglicht, ihre Verteidigungsfähigkeiten gegen die realen Bedrohungen zu bewerten, denen sie gegenüberstehen. Emulationspläne sind ein wesentlicher Bestandteil beim Testen bestehender Verteidigungsmaßnahmen für Organisationen, die ihre Verteidigung rund um das tatsächliche Verhalten von Gegnern priorisieren möchten. Wenn wir unsere Energie darauf konzentrieren, eine Reihe gemeinsamer Emulationspläne zu entwickeln, die allen zur Verfügung stehen, können Organisationen ihre begrenzte Zeit und Ressourcen darauf verwenden, zu verstehen, wie ihre Verteidigung tatsächlich gegen reale Bedrohungen abschneidet.
Die Bibliothek enthält zwei Arten von Adversary-Emulationsplänen: Voll-Emulation und Mikro-Emulation.
Voll-Emulationspläne sind ein umfassender Ansatz zur Emulation eines bestimmten Gegners, z. B. FIN6, vom ersten Zugriff bis zur Exfiltration. Diese Pläne emulieren eine breite Palette von ATT&CK-Taktiken und -Techniken und sind darauf ausgelegt, einen echten Einbruch durch den bezeichneten Gegner zu emulieren.
Mikro-Emulationspläne sind ein fokussierter Ansatz zur Emulation zusammengesetzter Verhaltensweisen, die bei mehreren Gegnern beobachtet werden, z. B. Webshells. Diese Pläne emulieren eine kleine Anzahl von ATT&CK-Techniken, die typischerweise als Teil einer einzelnen Gegneraktion ausgeführt werden.
Siehe auch unsere Blogbeiträge zur Adversary Emulation Library und zu Micro Emulation Plans.
Die verfügbaren Adversary-Emulationspläne sind unten aufgeführt:
| Mikro-Emulationspläne | Intelligence-Zusammenfassung |
|---|---|
| Active Directory Enumeration | Emuliert mehrere TA0007 Discovery-Verhaltensweisen über häufig missbrauchte Schnittstellen und Dienste wie Active Directory (AD) |
| Data Exfiltration | Emuliert die zusammengesetzten Verhaltensweisen eines Gegners, der sensible Dateien findet, bereitstellt, archiviert und extrahiert, wie in TA0010 Exfiltration beschrieben |
| DLL Sideloading | Emuliert einen Gegner, der eine ansonsten legitime/unbedenkliche Anwendung ausführt, um deren Module/Bibliotheken zu kapern und stattdessen seine schädliche Nutzlast einzuschleusen, wie in T1574.002 Hijack Execution Flow: DLL Side-Loading beschrieben |
| File Access and File Modification | Emuliert Dateizugriffs- und Dateiänderungsverhalten, das häufig mit TA0009 Collection sowie T1486 Data Encrypted for Impact in Verbindung gebracht wird. (Datenquelle: DS0022 File) |
| Log Clearing | Emuliert einen Gegner, der das Windows-Ereignisprotokoll löscht, wie in T1070.001 Indicator Removal: Clear Windows Event Logs beschrieben |
| Named Pipes | Emuliert die Erstellung und Nutzung von Named Pipes, (Datenquelle: ) |
Diese Adversary-Emulationspläne basieren auf bekannten Gegnerverhalten und sind darauf ausgelegt, Red Teams zu befähigen, einen bestimmten Bedrohungsakteur manuell zu emulieren, um Verteidigungsfähigkeiten aus einer bedrohungsinformierten Perspektive zu testen und zu bewerten. Dieser Ansatz befähigt Verteidiger, Cyber-Threat-Intelligence zu operationalisieren, um reale Gegner besser zu verstehen und zu bekämpfen. Anstatt sich auf statische Signaturen zu konzentrieren, bieten diese intelligence-gesteuerten Emulationspläne ein wiederholbares Mittel, um Verteidigungsfähigkeiten und Produkte gegen die sich entwickelnden Taktiken, Techniken und Verfahren (TTPs) von Bedrohungsakteuren und Malware zu testen und abzustimmen.
Adversary-Emulation ermöglicht es Organisationen, ihre Sicherheit mit den Augen eines Cyber-Gegners zu betrachten, mit dem Ziel, die Verteidigung über den gesamten Lebenszyklus des Gegners hinweg zu verbessern. Als Verteidiger erweitern wir damit unsere Aufmerksamkeit und unseren Fokus über die reinen Endhandlungen des Gegners hinaus, mit denen er sein operatives Ziel erreicht, um vielmehr jedes einzelne Verhalten (das hätte erkannt und/oder abgemildert werden können) zu verstehen und zu würdigen, das zu diesem Punkt führt.
Jeder Emulationsplan basiert auf Intelligence-Berichten und anderen Artefakten, die Einbrüche und Kampagnen erfassen und beschreiben, die öffentlich einem bestimmten benannten Bedrohungsakteur zugeschrieben werden. Zur Entwicklung jedes Plans recherchieren und modellieren wir jeden Bedrohungsakteur und achten dabei nicht nur darauf, was sie tun (z. B. Anmeldedaten von Opfern sammeln), sondern auch wie (mit welchen spezifischen Tools/Hilfsprogrammen/Befehlen?) und wann (in welcher Phase eines Einbruchs?). Anschließend entwickeln wir Emulationsinhalte, die die zugrunde liegenden Verhaltensweisen des Bedrohungsakteurs nachahmen (d. h. keine exakte Darstellung, sondern die Erfassung der relevanten Elemente, die für Verteidiger genau die richtige Test-Telemetrie erzeugen). Dieser Ansatz führt zu nuancierten Emulationsplänen, die jeweils einzigartige Szenarien und Perspektiven erfassen, die wir als bedrohungsinformierte Verteidiger nutzen können.
Wie beim traditionellen Red Teaming und Penetrationstest ist die Adversary-Emulation ein spezifischer Stil der offensiven Bewertung, der durchgeführt wird, um unsere Verteidigung zu testen und abzustimmen. In diesem Fall ist unser Ziel, Cyber-Threat-Intelligence zu operationalisieren, die Verhaltensweisen beschreibt, die in bestimmten Kampagnen oder Malware-Proben beobachtet wurden. Aus dieser Intelligence wählen wir eine Teilmenge von Verhaltensweisen (und deren Variationen) aus und führen sie aus, um unsere Verteidigung aus der Perspektive der jeweiligen Bedrohung zu bewerten.
Wie im nächsten Abschnitt beschrieben, erfasst jeder Emulationsplan spezifische Bedrohungsszenarien. Diese Szenarien können durchgängig ausgeführt oder einzelne Verhaltensweisen getestet werden. Organisationen können die Szenarien und/oder Verhaltensweisen innerhalb jedes Emulationsplans auch weiter anpassen, um sie besser an ihre spezifische Umgebung und Prioritäten anzupassen oder durch zusätzliche Intelligence zu gestalten.
Zusammenfassend sollte jeder vollständige Emulationsplan als Eingabe für eine offensive Bewertung/ein Red Team verstanden werden. Der Inhalt kann als strikte Anweisung zum Befolgen verwendet werden oder lediglich als Ausgangspunkt, der ausgebaut und personalisiert wird.
Jeder Emulationsplan konzentriert sich auf einen bestimmten benannten Bedrohungsakteur. Die README jedes einzelnen Plans bietet eine kuratierte Zusammenfassung der verfügbaren Cyber-Threat-Intelligence, bestehend aus einem Intelligence-Überblick über den Akteur (der beschreibt, wen er angreift, wie und warum, soweit möglich) sowie dem Umfang seiner Aktivitäten (d. h. der Breite der verwendeten Techniken und Malware). Alle dargestellten Informationen werden auf relevante öffentlich verfügbare Cyber-Threat-Intelligence zurückgeführt und über ATT&CK kommuniziert und annotiert.
Innerhalb jedes Emulationsplans bietet der operative Ablauf eine zusammenfassende Übersicht über die erfassten Szenarien. Diese Szenarien variieren je nach Gegner und verfügbarer Intelligence, folgen jedoch typischerweise einer sequenziellen Abfolge davon, wie der Akteur einbricht und dann daran arbeitet, seine operativen Ziele in einer Opferumgebung zu erreichen (Spionage, Daten-/Systemzerstörung usw.).
Der Inhalt zur Ausführung der Szenarien ist in Schritt-für-Schritt-Verfahren unterteilt, die sowohl in menschenlesbaren als auch maschinenlesbaren Formaten bereitgestellt werden. Szenarien können durchgängig oder als Einzeltests ausgeführt werden. Die menschenlesbaren Formate bieten, wo möglich, zusätzliche relevante Hintergrundinformationen sowie etwaige Setup-Voraussetzungen, während das maschinenlesbare Format für die programmatische Verarbeitung ausgelegt ist (z. B. Lesen, Neuformatieren und Einlesen in einen automatisierten Agenten wie CALDERA und/oder Breach-Simulations-Frameworks).
Detaillierte Dokumentation zu unserer Struktur für vollständige Emulationspläne finden Sie hier.
die dazu dient, unsere Verteidigung zu testen und zu optimieren. Diese Pläne können jedoch ohne ein Red Team und ohne eine offensive Bewertung ausgeführt werden. Jeder Plan besteht weiterhin aus einer Intelligence-Übersicht über die emulierten Verhaltensweisen, jedoch emulieren wir Verhaltensweisen, die bei mehreren Gegnern verbreitet sind, anstatt bei einem einzelnen Gegner.
Diese Pläne sind einfach auszuführen; es sind keine Abhängigkeiten oder besondere Konfiguration Ihrer Umgebung erforderlich. Alle Pläne können entweder von einem eigenständigen oder vernetzten Rechner ausgeführt werden. Sie können manuell oder in Automatisierungssoftware integriert ausgeführt werden. Wir haben ein Beispiel zur Ausführung eines Plans mit CALDERA bereitgestellt, aber diese Pläne können allgemein auf andere Plattformen angewendet werden.
Jeder Mikro-Plan verfügt über Standardlaufzeitoptionen; detaillierte Anweisungen finden Sie jedoch
im README jedes Plans, wie Sie die Ausführung an Ihre spezifischen Anforderungen anpassen können.
Wir haben den Quellcode und BUILD-Anweisungen für jeden Plan beigefügt, damit sie
bei Bedarf geändert und neu kompiliert werden können.
Die Mikro-Pläne können von der Releases- Seite heruntergeladen werden.
Die Bedrohungslandschaft ändert sich täglich, da neue Gruppen/Malware auftauchen und bekannte Gegner sich anpassen und weiterentwickeln. Das Center wird diese Bibliothek weiterhin befüllen und pflegen, um dieser Wachstumskurve durch gezielte Forschungsbemühungen zu entsprechen, die darauf abzielen, entweder Pläne basierend auf einem bestimmten Gegner zu erstellen oder zu aktualisieren.
Bitte reichen Sie Issues für technische Fragen/Bedenken ein oder kontaktieren Sie [email protected] direkt bei allgemeineren Anfragen.
Siehe auch die Anleitung für Mitwirkende, wenn Sie daran interessiert sind, einen Beitrag zu leisten.
Diese Inhalte dürfen nur mit entsprechender vorheriger, ausdrücklicher Genehmigung für die Zwecke der Bewertung der Sicherheitslage und/oder Forschung verwendet werden.
Copyright 2020-2021 The MITRE Corporation. Zur öffentlichen Freigabe zugelassen. Dokumentnummer CT0005
Lizenziert unter der Apache License, Version 2.0 (der „Lizenz"); Sie dürfen diese Datei nur in Übereinstimmung mit der Lizenz verwenden. Sie erhalten eine Kopie der Lizenz unter
Sofern nicht durch anwendbares Recht gefordert oder schriftlich vereinbart, wird die unter der Lizenz verbreitete Software auf einer „AS IS" BASIS OHNE GARANTIEN ODER BEDINGUNGEN JEGLICHER ART, weder ausdrücklich noch stillschweigend, bereitgestellt. Siehe die Lizenz für die spezifischen Berechtigungen und Einschränkungen gemäß der Lizenz.
Dieses Projekt nutzt ATT&CK®
| menuPass gilt als eine Bedrohungsgruppe, die von Sammelzielen motiviert ist und deren Targeting mit den strategischen Zielen Chinas übereinstimmt... |
| Process Injection | Emuliert das zusammengesetzte Verhalten von T1055 Process Injection gefolgt von der Ausführung beliebiger Befehle (T1059 Command and Scripting Interpreter) |
| Reflective Loading | Emuliert einen Gegner, der bösartigen Code innerhalb eines beliebigen Prozesses ausführt, um T1620 Reflective Code Loading durchzuführen |
| Remote Code Execution | Emuliert einen Gegner, der Remote-Codeausführung gegen einen verwundbaren Webserver durchführt, wie in T1190 Exploit Public-Facing Application dokumentiert |
| User Execution | Emuliert das zusammengesetzte Verhalten der Zustellung einer bösartigen .one-, .doc-, .lnk- oder .iso-Datei (z. B. über T1566.001 Phishing: Spearphishing Attachment) und anschließend der Ausführung beliebiger Befehle, nachdem ein Benutzer die Datei aufgerufen hat (T1204.002 User Execution: Malicious File und T1059 Command and Scripting Interpreter). |
| Web Shells | Emuliert das zusammengesetzte Verhalten des Platzierens einer Webshell (T1505.003 Server Software Component: Web Shell) und anschließend der Ausführung beliebiger Befehle darüber (T1059 Command and Scripting Interpreter) |
| Windows Registry | Emuliert einige gängige Methoden, mit denen Gegner die Windows-Registrierung modifizieren. (Datenquelle: DS0024 Windows Registry) |
