MITRE ATT&CK: cos'è
MITRE ATT&CK è una base di conoscenza pubblica e liberamente consultabile, curata dall'organizzazione statunitense MITRE, che descrive le tattiche e le tecniche usate dagli attaccanti in attacchi realmente osservati.
In breve
ATT&CK è un vocabolario comune. Invece di dire "l'attaccante ha usato un trucco per restare sulla macchina", si dice "persistenza tramite attività pianificata, T1053.005". Analisti, fornitori di sicurezza, report di threat intelligence e regole di rilevamento usano gli stessi nomi e gli stessi codici, e questo rende confrontabile ciò che altrimenti sarebbe descritto in cento modi diversi.
Come funziona
La conoscenza è organizzata in matrici: Enterprise (sistemi aziendali e cloud), Mobile e ICS (sistemi industriali). Ogni matrice ha:
- tattiche: il perché, cioè l'obiettivo dell'attaccante in quel momento. Nella matrice Enterprise sono 14, da Reconnaissance (ricognizione) e Initial Access (accesso iniziale) fino a Lateral Movement (movimento laterale), Exfiltration (sottrazione dei dati) e Impact (impatto);
- tecniche e sotto-tecniche: il come, con un identificativo. T1566 è Phishing, T1566.001 la sua variante con allegato malevolo;
- procedure: esempi concreti di come un gruppo o un malware ha usato quella tecnica;
- schede su gruppi, software, mitigazioni e modi per rilevare ogni tecnica.
Perché è importante
ATT&CK aiuta chi difende a fare domande precise: "se un attaccante usasse questa tecnica, me ne accorgerei?". Si usa per misurare la copertura delle regole di un SIEM, per orientare il threat hunting, per progettare esercitazioni e penetration test realistici, e per leggere i report di threat intelligence, che indicano le tecniche dei gruppi attivi in un settore.
Esempio
Un attacco ransomware tipico, descritto in ATT&CK:
- email con allegato malevolo, T1566.001;
- esecuzione di uno script PowerShell, T1059.001;
- uso di credenziali valide rubate, T1078;
- movimento verso altri server tramite le condivisioni amministrative di Windows, T1021.002;
- cancellazione delle copie di ripristino, T1490;
- cifratura dei dati, T1486.
Ogni passaggio è un'occasione per rilevare e fermare l'attacco. Molte di queste tecniche usano programmi già presenti in Windows (si parla di living off the land): per questo conta sapere quali strumenti di sistema vengono usati e da chi.
Un esercizio utile anche per una PMI: prendere le tecniche più comuni nel proprio settore, chiedersi per ciascuna quale dato la mostrerebbe (un log, un evento sull'endpoint, un accesso) e verificare se quel dato viene davvero raccolto.
Termini collegati
Dove lo trovi in Dottor Box
Software Autorizzati segnala gli eseguibili di sistema che i malware usano abitualmente per muoversi senza installare nulla, come certutil, psexec, schtasks e netsh, quando non risultano autorizzati. Il Cyber Agent raccoglie gli eventi che servono per riconoscere queste tecniche.
Software autorizzati
Il software installato confrontato con quello approvato, per scoprire ciò che non dovrebbe esserci.
Scopri di più VedereCyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più VedereSIEM e XDR gestito
Log centralizzati, correlazione degli eventi e risposta sugli endpoint, con analisti che filtrano il rumore.
Scopri di più