MITRE-ATT&CK Heatmap und Navigator
Sie können die Heatmap und den Navigator MITRE-ATT&CK für die grundlegende Navigation und zur Visualisierung Ihrer gesamten Technikerkennungsabdeckung verwenden.
Greifen Sie auf die Heatmap und den Navigator MITRE-ATT&CK zu
Greifen Sie auf die Heatmap und den Navigator MITRE-ATT&CK zu, um die Matrix anzuzeigen, mit der Sie ATT&CK verwenden können.
Vorbereitungen
Warum und wann dieser Vorgang ausgeführt wird
Prozedur
Verwenden der benutzerdefinierten Ansichten
Benutzerdefinierte Ansichten in der Heatmap und im Navigator MITRE-ATT&CK helfen Ihnen, Ihre bevorzugten Filter zu speichern und anzuzeigen, wenn Sie das nächste Mal auf der Heatmap landen.
Erstellen Sie eine Ansicht
Nachdem Sie die erforderlichen Filter aus den Filtern Primär oder Erweitert ausgewählt haben, klicken Sie im Header Filter auf die Schaltfläche mit den Auslassungspunkten (…), und wählen Sie Neue Ansicht erstellen aus. Geben Sie den Namen der benutzerdefinierten Ansicht ein, und klicken Sie auf Ansicht speichern.
Standardansichten
Klicken Sie auf Save this as a default view (Als Standardansicht speichern), um die Ansicht direkt zu laden, wenn Sie das nächste Mal auf der Heatmap landen. Sie können für jede der Sammlungen eine Standardansicht festlegen.
Aktualisieren Sie eine Ansicht
Sie können Aktualisierungen an einer vorhandenen benutzerdefinierten Ansicht vornehmen, indem Sie die erforderlichen Filter Primär oder Erweitert ändern. Wählen Sie eine benutzerdefinierte Ansicht aus, aktualisieren Sie die Filter nach Bedarf, klicken Sie dann im Header Filter auf die Schaltfläche mit den Auslassungspunkten (…), und wählen Sie Ansicht aktualisieren aus, um die Filter zu speichern.
Benutzerdefinierte Ansichten verwalten
Verwenden Sie die Kontrollkästchen neben jeder benutzerdefinierten Ansicht, um den ausgewählten benutzerdefinierten Ansichtsfilter anzuwenden.
- Legen Sie eine Standardansicht fest.
- Entfernen Sie eine benutzerdefinierte Ansicht als Standardansicht. Dadurch wird die benutzerdefinierte Ansicht nicht gelöscht.
- Benennen Sie die benutzerdefinierte Ansicht um.
- Löschen Sie die benutzerdefinierte Ansicht.
Exportieren Sie eine gespeicherte Ansicht
Um die gespeicherten benutzerdefinierten Ansichten in JSON-Dateien zu exportieren, klicken Sie im Header Filter auf Auslassungspunkte (…), und wählen Sie GespeicherteAnsichten exportieren aus. Klicken Sie auf das Download-Symbol für die benutzerdefinierte Ansicht, die Sie auf Ihren lokalen Computer herunterladen möchten.
Importieren Sie eine Ansicht
Sie können nur JSON-Dateien importieren. Um die benutzerdefinierten Ansichten zu importieren, klicken Sie im Header Filter auf die Schaltfläche mit den Auslassungspunkten (…), und wählen Sie Import view(json) aus.
- Sie können nur das JSON-Dateiformat importieren.
- Sie können jeweils nur eine Ansicht oder Datei importieren.
- Sie können nicht importieren, wenn Ihre Filter bereits drei benutzerdefinierte Ansichten enthalten. Löschen Sie eine benutzerdefinierte Ansicht, und importieren Sie eine Ansicht.
- Sie können keine Ansicht mit einem vorhandenen benutzerdefinierten Ansichtsnamen importieren. Benennen Sie eine Ansicht vor dem Import um.
Navigator mit primären Filtern
Verwenden Sie die primären Filter, um Techniken im MITRE-ATT&CK -Navigator zu filtern. Die Informationen im Repository MITRE-ATT&CK stehen zur Auswahl.
| Filter | Beschreibung |
|---|---|
| Angreifergruppe (Bedrohungsgruppe) | Sätze zugehöriger Angriffsaktivitäten, die in der Sicherheits-Community unter einem gemeinsamen Namen nachverfolgt werden. Gruppen können verschiedene Bedrohungsgruppen, Aktivitätsgruppen, Bedrohungsakteure, Angriffssätze und Kampagnen bedeuten. Sie können dem Filter „Angreifergruppe (Bedrohungsgruppe)“ mehrere Gruppen hinzufügen. Fügen Sie beispielsweise APT1 und AT12 hinzu, da beide Bedrohungsgruppen sind, die China zugeordnet sind. Beide Gruppen zielen zwar auf unterschiedliche Quellen ab, könnten jedoch ähnliche Techniken verwenden. |
| Tool | Legitime Software, die von Bedrohungsakteuren für Angriffe verwendet wird. Sie können verstehen, wie Bedrohungsakteure Kampagnen ausführen, wenn Sie wissen, wie und welche Tools von Bedrohungsakteuren verwendet werden. Tools umfassen sowohl Software, die nicht auf einem Unternehmenssystem gefunden wird, als auch Software, die als Teil eines Betriebssystems verfügbar ist, das bereits in einer Umgebung wie Microsoft Windows-Dienstprogramme vorhanden ist. Zum Beispiel ist gsecdump ein öffentlich verfügbarer Dumper für Anmeldeinformationen, den die APTI1-Angreifergruppe verwendet, um Passwort-Hashes und LSA-Geheimnisse (Local Security Authority) von Microsoft Windows-Betriebssystemen zu erhalten. |
| Malware | Kommerzielle, benutzerdefinierte Closed Source- oder Open Source-Software, die von Angreifern für böswillige Zwecke verwendet werden soll. Beispiele sind PlugX, CHOPSTICK usw |
| Plattform | Taktiken und Techniken, die MITRE-ATT&CK in einer bestimmten Plattform darstellen. Beispielsweise unterstützt MITRE-ATT&CK die folgenden Plattformen in der Enterprise ATT&CK-Matrix: Microsoft Windows, macOS, Linux, PRE, AWS, GCP, Azure, Azure AD, Office 365, SaaS, Network. |
| Datenquelle | Datenquellen, die Sie in Ihrer Umgebung sammeln und zur Erkennung von MITRE-ATT&CK -Techniken verwenden. Beispiele sind DLL-Überwachung und Browsererweiterungen. |
Verwenden einer Heatmap mit primären und erweiterten Funktionen
Sie können eine Heatmap mit erweiterten Filtern verwenden, um eine Analyse durchzuführen, indem Sie Security Incidents mit MITRE-ATT&CK Informationen korrelieren.
Zeigen Sie die Erkennungs- und Verringerungsabdeckung an
Sie können die Filter „Technikerkennung“ und „Technikminderungsabdeckung“ zusammen verwenden, um Einblicke in die Relevanz der Technikerkennung zu erhalten und die Abdeckung für Ihre Organisation zu verringern.