rabobank-cdc/dettect戦術、手法、および戦闘脅威を検出
最新バージョン: 2.2.0
DeTT&CT を使い始めるには、次のいずれかのリソースを確認してください:
ビデオ
DeTT&CT は、ブルーチームが ATT&CK を使用してデータログソースの品質、可視性カバレッジ、検知カバレッジ、脅威アクターの行動をスコアリングおよび比較することを支援することを目的としています。これらはすべて、さまざまな方法で、組織を標的とした攻撃に対する耐性を高めるのに役立ちます。DeTT&CT フレームワークは、Python ツール（DeTT&CT CLI）、YAML 管理ファイル、DeTT&CT Editor（YAML 管理ファイルの作成・編集用）、および検知、データソース、可視性のためのスコアリングテーブルで構成されています。
DeTT&CT は、ATT&CK のドメインである Enterprise、ICS、Mobile に対して以下の機能を提供します:
色付きの可視化は、MITRE の ATT&CK™ Navigator を使用して作成されています。DeTT&CT によって作成されたレイヤーファイルについては、Navigator へのこの URL を使用することをお勧めします。これにより、レイヤーファイル内のメタデータに黄色の下線が付かなくなります: https://mitre-attack.github.io/attack-navigator/#comment_underline=false&metadata_underline=false
このプロジェクトは、Marcus Bakker（Twitter: @Bakk3rM）と Ruben Bouman（Twitter: @rubinatorz）によって開発および保守されています。お気軽にお問い合わせください。DM も受け付けています。DeTT&CT の使い方に関する質問は、GitHub issue を作成してお問い合わせいただけると幸いです。そこに質問と回答を残すことは、同様の質問や課題を持つ他の人々にとって非常に有益です。
貢献を歓迎します!コードでの貢献も、今後の開発や使いやすさの改善などのアイデアも歓迎します。
以下の組織が、DeTT&CT の開発を時間的または金銭的に支援しています。
Rabobank - オランダの多国籍銀行および金融サービス企業。食品と農業関連ビジネスが Rabobank の主要な国際的焦点です。
DeTT&CT の重要な部分は、私たちが Rabobank で契約社員として働いていた時期に開発されました。
Cyber Security Sharing & Analytics (CSSA) - 2014年11月にドイツの大手7社によって、サイバーセキュリティの課題に積極的かつ迅速かつ効果的に対処するための同盟として設立されました。現在、CSSA には13の会員企業があります。
CSSA の金銭的スポンサーシップにより、DeTT&CT に ATT&CK ICS のサポートを追加しました。
オランダ国家警察。オランダ国家警察の金銭的スポンサーシップにより、DeTT&CT に ATT&CK Mobile のサポートを追加しました。
他者の成果が DeTT&CT 内の一部の機能に影響を与えました:
DeTT&CT YAML ファイルのための Python ライブラリ。
Dettectinator は、SOC 自動化ツールに組み込むことを目的として構築されています。Python ライブラリとして組み込むことも、コマンドラインから使用することもできます。
Dettectinator は、SIEM または EDR から検知を読み取り、DeTT&CT YAML ファイルを作成・更新するプラグインを提供します。これにより、ATT&CK Navigator で ATT&CK 検知カバレッジを可視化できます。
詳細は Github で確認できます: Dettectinator。
YAML ファイルは、スコアと関連プロパティの管理に使用されます。これらはすべて、JSON レイヤーファイルを ATT&CK Navigator に読み込むことで可視化できます（一部の種類のスコアとプロパティは Excel にエクスポートすることもできます）。
以下に、データソースを ATT&CK にマッピングする例を示します。これにより、可視性カバレッジの大まかな概要が得られます:
python dettect.py generic -ds コマンドを使用すると、ATT&CK 内のどのデータソースが最も多くのテクニックをカバーしているかを判断できます。これは、たとえば、どのデータソースが多くの可視性を提供し、したがって SIEM（のような）ソリューションで利用できる良い候補であるかを特定する際の指針として役立ちます。
Count Data Source
--------------------------------------------------
255 Command Execution
206 Process Creation
98 File Modification
88 File Creation
82 Network Traffic Flow
78 OS API Execution
70 Network Traffic Content
58 Windows Registry Key Modification
58 Network Connection Creation
55 Application Log Content
50 Module Load
46 File Access
46 Web [DeTT&CT data source]
37 File Metadata
32 Logon Session Creation
26 Script Execution
22 Response Content
21 Internal DNS [DeTT&CT data source]
20 User Account Authentication
18 Process Access
17 Windows Registry Key Creation
17 Email [DeTT&CT data source]
15 Service Creation
15 Host Status
13 Active Directory Object Modification
12 Service Metadata
11 Process Metadata
10 Driver Load
10 File Deletion
9 Firmware Modification
9 Logon Session Metadata
9 Process Modification
8 User Account Metadata
7 Windows Registry Key Access
7 Scheduled Job Creation
7 Malware Metadata
7 Active Directory Credential Request
6 Container Creation
6 Web Credential Usage
6 Response Metadata
6 User Account Creation
6 Drive Modification
6 User Account Modification
5 Instance Creation
5 Active DNS
5 Passive DNS
5 Network Share Access
5 Drive Access
5 Service Modification
4 Image Creation
4 Instance Start
4 Active Directory Object Creation
4 Malware Content
4 Social Media
4 Domain Registration
4 Drive Creation
4 Windows Registry Key Deletion
3 Active Directory Object Access
3 Instance Metadata
3 Container Start
3 Web Credential Creation
3 Firewall Rule Modification
3 Firewall Disable
3 Instance Deletion
3 Snapshot Creation
3 Process Termination
2 Cloud Storage Enumeration
2 Cloud Storage Access
2 Pod Metadata
2 Active Directory Object Deletion
2 Cloud Service Modification
2 Cloud Service Disable
2 Certificate Registration
2 Cloud Storage Metadata
2 Instance Modification
2 Instance Stop
2 Firewall Metadata
2 Firewall Enumeration
2 Group Enumeration
2 Group Metadata
2 Image Metadata
2 Scheduled Job Metadata
2 Scheduled Job Modification
2 Kernel Module Load
2 WMI Creation
2 Group Modification
2 Driver Metadata
2 Snapshot Modification
2 Snapshot Deletion
2 Volume Deletion
2 Cloud Storage Modification
2 Cloud Service Enumeration
1 Cluster Metadata
1 Container Enumeration
1 Container Metadata
1 Pod Enumeration
1 Pod Creation
1 Pod Modification
1 Instance Enumeration
1 Snapshot Metadata
1 Snapshot Enumeration
1 Volume Metadata
1 Volume Enumeration
1 Named Pipe Metadata
1 User Account Deletion
1 Image Modification
1 Volume Creation
1 Volume Modification
1 Cloud Storage Creation
1 Cloud Service Metadata
1 Image Deletion
1 Cloud Storage Deletion
1 DHCP [DeTT&CT data source]
私たちの GitHub Wiki を参照してください: インストールと要件。