Подтехника ATT&CK

Простыми словами

Проще говоря, «Подтехника ATT&CK» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

Как применяется

В практике ИБ термин «Подтехника ATT&CK» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

Пример применения

При формулировании гипотезы threat hunter опирается на понятие «Подтехника ATT&CK», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.

Не путать с

  • Группа угрозГруппа угроз — совокупность активности, атрибутированной предполагаемому противнику или устойчивому кластеру.
  • Кампания угрозКампания угроз — связанная во времени и целях серия действий противника против одной или нескольких целей.
  • Инфраструктура противникаИнфраструктура противника — домены, адреса, серверы, аккаунты и другие ресурсы, используемые в действиях атакующего.

Как это работает

  1. Поставить аналитический вопросДля «Подтехника ATT&CK» заранее определяют, какое решение должен поддержать результат.
  2. Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
  3. Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
  4. Операционализировать выводРезультат «Подтехника ATT&CK» превращают в поиск, приоритет защиты или изменение обнаружения.

Частые вопросы

Что такое «Подтехника ATT&CK» простыми словами?

Проще говоря, «Подтехника ATT&CK» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

Как «Подтехника ATT&CK» применяют на практике?

В практике ИБ термин «Подтехника ATT&CK» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

Чем «Подтехника ATT&CK» отличается от близких понятий?

«Подтехника ATT&CK» описывает следующее: более детализированный вариант техники ATT&CK. «Группа угроз» означает: совокупность активности, атрибутированной предполагаемому противнику или устойчивому кластеру. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.

Подтехника ATT&CK — более детализированный вариант техники ATT&CK.