Uma biblioteca aberta de planos de emulação de adversários projetada para capacitar organizações a testar suas defesas com base em TTPs do mundo real.
Em colaboração com os participantes do Centro, o MITRE Center for Threat-Informed Defense (Center) mantém uma biblioteca de planos de emulação de adversários para permitir que organizações avaliem suas capacidades defensivas contra as ameaças reais que enfrentam. Os planos de emulação são um componente essencial no teste das defesas atuais para organizações que buscam priorizar suas defesas em torno do comportamento real do adversário. Concentrar nossos esforços no desenvolvimento de um conjunto de planos de emulação comuns disponíveis para todos significa que as organizações podem usar seu tempo e recursos limitados para se concentrar em entender como suas defesas realmente se saem contra ameaças reais.
A biblioteca contém dois tipos de planos de emulação de adversários: emulação completa e micro emulação.
Planos de emulação completa são uma abordagem abrangente para emular um adversário específico, por exemplo, FIN6, do acesso inicial à exfiltração. Esses planos emulam uma ampla gama de táticas e técnicas ATT&CK e são projetados para emular uma violação real do adversário designado.
Planos de micro emulação são uma abordagem focada para emular comportamentos compostos observados em múltiplos adversários, por exemplo, webshells. Esses planos emulam um pequeno número de técnicas ATT&CK que normalmente são executadas como parte de uma única ação do adversário.
Consulte também nossos blogs sobre a Biblioteca de Emulação de Adversários e Planos de Micro Emulação.
Os planos de emulação de adversários disponíveis estão listados abaixo:
| Planos de Micro Emulação | Resumo de Inteligência |
|---|---|
| Active Directory Enumeration | Emula múltiplos comportamentos de TA0007 Discovery por meio de interfaces e serviços comumente abusados, como o Active Directory (AD) |
| Data Exfiltration | Emula os comportamentos compostos de um adversário ao localizar, preparar, arquivar e extrair arquivos confidenciais, conforme descrito em TA0010 Exfiltration |
| DLL Sideloading | Emula um adversário executando um aplicativo de outra forma legítimo/benigno para sequestrar seus módulos/bibliotecas e, em vez disso, injetar sua carga maliciosa, conforme descrito em T1574.002 Hijack Execution Flow: DLL Side-Loading |
| File Access and File Modification | Emula comportamentos de acesso e modificação de arquivos comumente associados a TA0009 Collection bem como a T1486 Data Encrypted for Impact. (Fonte de dados: DS0022 File) |
| Log Clearing | Emula um adversário limpando o Log de Eventos do Windows, conforme descrito em T1070.001 Indicator Removal: Clear Windows Event Logs |
| Named Pipes | Emula a criação e o uso de pipes nomeados comumente abusados por malware (Fonte de dados: ) |
Esses planos de emulação de adversários são baseados em comportamentos de adversários conhecidos e projetados para capacitar equipes de red team a emular manualmente um ator de ameaça específico para testar e avaliar capacidades defensivas a partir de uma perspectiva informada por ameaças. Essa abordagem capacita os defensores a operacionalizar a inteligência de ameaças cibernéticas para melhor entender e combater adversários reais. Em vez de focar em assinaturas estáticas, esses planos de emulação orientados por inteligência fornecem um meio repetível de testar e ajustar capacidades e produtos defensivos contra as Táticas, Técnicas e Procedimentos (TTPs) em evolução de atores de ameaça e malware.
A emulação de adversários permite que as organizações vejam sua segurança pelos olhos de um adversário cibernético, com o objetivo de melhorar as defesas ao longo do ciclo de vida do adversário. Como defensores, isso expande nossa atenção e foco para além apenas das ações finais do adversário ao atingir seu objetivo operacional, para em vez disso entender e apreciar cada comportamento distinto (que poderia ter sido detectado e/ou mitigado) que leva a esse ponto.
Cada plano de emulação está enraizado em relatórios de inteligência e outros artefatos que capturam e descrevem violações e campanhas publicamente atribuídas a um ator de ameaça específico e nomeado. Para desenvolver cada plano, pesquisamos e modelamos cada ator de ameaça, focando não apenas no que eles fazem (ex.: coletar credenciais de vítimas), mas também em como (usando quais ferramentas/utilitários/comandos específicos?) e quando (durante qual estágio de uma violação?). Em seguida, desenvolvemos conteúdo de emulação que imita os comportamentos subjacentes utilizados pelo ator de ameaça (ou seja, não uma representação exata, mas sim a captura dos elementos pertinentes que geram com precisão a telemetria de teste apropriada para os defensores). Essa abordagem resulta em planos de emulação nuançados, cada um capturando cenários e perspectivas únicos que podemos aproveitar como defensores informados por ameaças.
Como no caso do red teaming e dos testes de penetração tradicionais, a emulação de adversários é um estilo específico de avaliação ofensiva realizada para nos ajudar a testar e ajustar nossas defesas. Nesse caso, nosso objetivo é operacionalizar a inteligência de ameaças cibernéticas que descreve comportamentos observados em campanhas específicas ou amostras de malware. A partir dessa inteligência, selecionamos e executamos um subconjunto de comportamentos (e suas variações) para avaliar nossas defesas a partir da perspectiva da ameaça específica.
Conforme descrito na próxima seção, cada plano de emulação captura cenários de ameaça específicos. Esses cenários podem ser executados de ponta a ponta, ou comportamentos individuais podem ser testados. As organizações também podem optar por personalizar ainda mais os cenários e/ou comportamentos dentro de cada plano de emulação para melhor se adequar ao seu ambiente específico, prioridades, ou para serem moldados por inteligência adicional.
Em resumo, cada plano de emulação completa deve ser percebido como insumo para uma avaliação ofensiva/red team. O conteúdo pode ser usado como instruções estritas a serem seguidas, ou como apenas um ponto de partida a ser ampliado e personalizado.
Cada plano de emulação foca em um ator de ameaça específico e nomeado. O README de cada plano individual fornece um resumo curado da inteligência de ameaças cibernéticas disponível, composto por uma visão geral de inteligência do ator (descrevendo quem eles visam, como e por que, quando possível), bem como o escopo de sua atividade (ou seja, a amplitude de técnicas e malware usados). Todas as informações apresentadas são citadas de volta à inteligência de ameaças cibernéticas relevante, publicamente disponível, e são comunicadas e anotadas via ATT&CK.
Dentro de cada plano de emulação, o fluxo operacional fornece um resumo de alto nível do(s) cenário(s) capturado(s). Esses cenários variam com base no adversário e na inteligência disponível, mas normalmente seguem uma progressão sequencial de como o ator viola e então trabalha para alcançar seus objetivos operacionais dentro de um ambiente de vítima (espionagem, destruição de dados/sistemas, etc.).
O conteúdo para executar o(s) cenário(s) é dividido em procedimentos passo a passo fornecidos em formatos legíveis por humanos e por máquinas. Os cenários podem ser executados de ponta a ponta ou como testes individuais. Os formatos legíveis por humanos fornecem contexto relevante adicional quando possível, bem como quaisquer pré-requisitos de configuração, enquanto o formato legível por máquina é projetado para ser analisado programaticamente (ex.: lido, reformatado e ingerido por um agente automatizado, como CALDERA e/ou frameworks de simulação de violações).
Documentação detalhada sobre a estrutura do nosso plano de emulação completa pode ser encontrada aqui.
Esses planos são fáceis de executar, sem dependências necessárias ou configuração especial do seu ambiente. Todos os planos podem ser executados a partir de uma máquina autônoma ou em rede. Eles podem ser executados manualmente ou integrados a softwares de automação. Fornecemos um exemplo de como executar um plano com CALDERA, mas esses planos podem ser amplamente aplicados a outras plataformas.
Cada microplano tem opções de execução padrão; no entanto, instruções detalhadas sobre como personalizar a execução para atender às suas necessidades específicas podem ser encontradas no README de cada plano. Incluímos o código-fonte e as instruções de BUILD para cada plano, para que possam ser modificados e recompilados, conforme necessário.
Os microplanos podem ser baixados da página de Releases.
O cenário de ameaças muda todos os dias, à medida que novos grupos/malwares surgem e adversários conhecidos se adaptam e evoluem. O Centro continuará a popular e manter esta biblioteca para acompanhar essa curva de crescimento por meio de esforços de pesquisa dedicados que visam criar ou atualizar planos com base em um adversário específico.
Envie issues para quaisquer dúvidas/preocupações técnicas ou entre em contato diretamente com [email protected] para consultas mais gerais.
Consulte também as orientações para contribuidores se estiver interessado em contribuir.
Este conteúdo deve ser usado somente com autorização prévia e explícita apropriada para fins de avaliação de postura de segurança e/ou pesquisa.
Direitos autorais 2020-2021 The MITRE Corporation. Aprovado para divulgação pública. Número do documento CT0005
Licenciado sob a Apache License, Versão 2.0 (a "Licença"); você não pode usar este arquivo exceto em conformidade com a Licença. Você pode obter uma cópia da Licença em
A menos que exigido pela lei aplicável ou acordado por escrito, o software distribuído sob a Licença é distribuído numa base "AS IS", SEM GARANTIAS OU CONDIÇÕES DE QUALQUER TIPO, expressas ou implícitas. Consulte a Licença para as permissões e limitações específicas que regem o uso.
Este projeto faz uso de ATT&CK®
| Acredita-se que o menuPass seja um grupo de ameaça motivado por objetivos de coleta, com alvos consistentes com os objetivos estratégicos chineses... |
| Process Injection | Emula o comportamento composto de T1055 Process Injection seguido pela execução de comandos arbitrários (T1059 Command and Scripting Interpreter) |
| Reflective Loading | Emula um adversário executando código malicioso dentro de um processo arbitrário para realizar T1620 Reflective Code Loading |
| Remote Code Execution | Emula um adversário realizando execução remota de código contra um servidor web vulnerável, conforme documentado em T1190 Exploit Public-Facing Application |
| User Execution | Emula o comportamento composto de entregar um arquivo .one, .doc, .lnk ou .iso malicioso (por exemplo, via T1566.001 Phishing: Spearphishing Attachment) e então executar comandos arbitrários depois que um usuário invoca o arquivo (T1204.002 User Execution: Malicious File e T1059 Command and Scripting Interpreter). |
| Web Shells | Emula o comportamento composto de plantar um web shell (T1505.003 Server Software Component: Web Shell) e então executar comandos arbitrários através dele (T1059 Command and Scripting Interpreter) |
| Windows Registry | Emula alguns métodos comuns que os adversários usam para modificar o Registro do Windows. (Fonte de dados: DS0024 Windows Registry) |
