Оценка покрытия матрицы MITRE ATT&CK

Информация, приведенная на данной странице, является разработкой команды pre-sales и/или community KUMA и НЕ является официальной рекомендацией вендора.

Статья онлайн-справки «Покрытие матрицы MITRE ATT&CK»:
https://support.kaspersky.ru/kuma/4.0/272743

Если вы хотите оценить покрытие матрицы MITRE ATT&CK (https://attack.mitre.org/) корреляционными правилами, используемыми в KUMA («коробочными» и/или пользовательскими), выполните следующие шаги:

Загрузите справочник техник MITRE из официального репозитория MITRE ATT&CK и импортируйте справочник техник MITRE в KUMA.
Привяжите техники MITRE к правилам корреляции.
Экспортируйте правила корреляции в MITRE ATT&CK Navigator.
В результате вы сможете визуально оценить покрытие матрицы MITRE ATT&CK.

Загрузить справочник техник MITRE можно из официального репозитория MITRE ATT&CK: https://github.com/mitre/cti/blob/master/enterprise-attack/enterprise-attack.json

KUMA поддерживает работу только со справочником техник MITRE ATT&CK версии 14.1.

Импорт справочника техника MITRE

Чтобы импортировать список техник MITRE ATT&CK:

В веб-интерфейсе KUMA перейдите в раздел Параметры → Другое → Общие.
В разделе Настройки списка техник MITRE нажмите на кнопку Импортировать из файла.

В окне выбора файлов выберите скачанный справочник техник MITRE ATT&CK и нажмите на кнопку Открыть.

Список техник MITRE ATT&CK будет импортирован в KUMA. Вы можете увидеть список импортированных техник и версию справочника техник MITRE ATT&CK, нажав на кнопку Просмотреть список.

Чтобы проверить отображение списка техник MITRE ATT&CK для «коробочных» правил корреляции [OOTB] SOC Content - RU for KUMA 3.2:

Перейдите в Ресурсы → Правила корреляции и выберите слева папку Main.
Убедитесь, что в столбце Техники MITRE отображается ID Техники.

Если столбец Техники MITRE остается пустым, выполните повторный импорт пакета [OOTB] SOC Content - RU for KUMA 3.2 из репозитория (см. Раздел Импорт ресурсов из репозитория).

Привязка техник MITRE к правилам корреляции

Чтобы привязать техники MITRE ATT&CK к правилам корреляции (на примере созданного правила корреляции из Раздела Создание правила корреляции типа Standard):

В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Правила корреляции.
В панели слева выберите ранее созданную папку для пользовательских правил корреляции и откройте окно редактирования правила корреляции, нажав на имя правила корреляции.

В окне редактирования правила корреляции во вкладке Общие нажмите на поле Техники MITRE откроется список доступных техник.
Для удобства поиска доступен фильтр: в поле можно ввести название техники, ID техники или тактики. Для привязки к правилу корреляции доступна одна или несколько техник MITRE ATT&CK. Так как созданное правило относится к технике Brute Force и производится многократная попытка подобрать пароль введите в поле саб-технику Password Guessing (https://attack.mitre.org/techniques/T1110/001/).

Нажмите на кнопку Сохранить.

Техника MITRE ATT&CK будет привязана к правилу корреляции. Убедитесь, что в столбце Техники MITRE отображается ID Техники.

Экспорт правил корреляции в MITRE ATT&CK Navigator

Чтобы оценить покрытие матрицы MITRE ATT&CK корреляционными правилами, используемыми в KUMA («коробочными» и/или пользовательскими), выполните следующие шаги:

Предварительно выполните привязку техник MITRE к правилам корреляции, созданным самостоятельно.

В веб-интерфейсе KUMA перейдите в раздел Ресурсы → Правила корреляции.
В правом верхнем углу нажмите на кнопку .
В раскрывающемся списке нажмите на кнопку Экспортировать в MITRE ATT&CK Navigator.

В открывшемся окне выберите правила корреляции, которые вы хотите экспортировать (выберите все для оценки покрытия всеми правила корреляции).
Нажмите на кнопку OK.
Файл с экспортированными правилами будет загружен на ваш компьютер в формате json.
Загрузите файл с вашего компьютера в MITRE ATT&CK Navigator (https://mitre-attack.github.io/attack-navigator/) для оценки покрытия матрицы MITRE ATT&CK.

В результате будет отображено покрытие MITRE ATT&CK. При наведении курсора на конкретную технику или саб-технику будет отображено, покрывающее ее правило.