Canevas d’examen Filtres MITRE
Les filtres MITRE vous permettent de créer et d’enregistrer des filtres pour les tactiques, techniques et procédures (TTP) associées à des adversaires spécifiques et à d’autres attributs de technique MITRE.
Avant de commencer
Rôle requis : sn_sec_tisc.analyst
Pourquoi et quand exécuter cette tâche
Les analystes peuvent utiliser les filtres disponibles sur la carte MITRE pour filtrer les TTP d’acteurs spécifiques qui sont pertinents pour les adversaires impliqués dans l’enquête.
Procédure
-
Renseignez les valeurs nécessaires dans le panneau de filtre pour appliquer les filtres souhaités.
Le panneau de filtre MITRE vous permet de filtrer et de visualiser les techniques MITRE ATT&CK en fonction de critères sélectionnés tels que les groupes, les programmes malveillants, les outils, les balises et la priorité.
Champ Description Filtres enregistrés Les analystes peuvent enregistrer des critères spécifiques sous forme de filtres enregistrés pour réutilisation. Les filtres enregistrés par un analyste sont spécifiques à l’utilisateur. Remarque :Par exemple, si l’analyste X enregistre une configuration de filtre, elle ne sera visible que par l’analyste X. Lorsqu’un autre analyste se connecte et consulte la liste déroulante des filtres, il ne voit pas les filtres enregistrés par d’autres.Cela garantit que chaque utilisateur peut créer et gérer des vues personnalisées sans affecter ou être affecté par les préférences de filtre des autres utilisateurs.
Nom du filtre Nom du filtre. Groupe MITRE Indique le groupe MITRE. Sélectionnez un ou plusieurs groupes pour filtrer les techniques qui leur sont associées. Programme malveillant MITRE Indique le programme malveillant MITRE. Sélectionnez un ou plusieurs éléments de programme malveillant pour filtrer les techniques qui leur sont associées. Outils MITRE Indique les outils MITRE. Sélectionnez un ou plusieurs outils pour filtrer les techniques qui leur sont associées. Balises TISC Indique les TISC balises. Sélectionnez une ou plusieurs balises pour filtrer les techniques en fonction de leur classification. Priorité des techniques Indique le niveau de priorité des techniques. Vous pouvez sélectionner une ou plusieurs options pour filtrer les techniques en fonction de la priorité qui leur est affectée. Tout effacer Vous permet d’effacer les entrées saisies dans le panneau de filtre. Enregistrer comme nouveau filtre Enregistre les critères entrés dans le panneau de filtre en tant que nouveau filtre enregistré. Remarque :Le nom du filtre enregistré doit être unique.Enregistrer le filtre actuel Enregistre les changements apportés aux critères dans le filtre enregistré actuellement sélectionné. Vous pouvez également renommer un filtre à l’aide de cette option.Remarque :Le nom du filtre enregistré doit être unique.Appliquer Cette option vous permet d’appliquer les modifications à vos filtres dans la carte MITRE. Supprimer Sélectionnez cette option pour supprimer un filtre enregistré sélectionné. Lorsque vous cliquez sur le bouton Supprimer en regard d’un filtre enregistré, un message de confirmation s’affiche si vous êtes sûr de vouloir supprimer ce filtre. La confirmation de cette action supprimera définitivement le filtre enregistré.
Pour supprimer une valeur de champ individuelle dans le panneau de filtre, cliquez sur l’icône Supprimer (corbeille) en regard de ce champ spécifique.
En appliquant des filtres à l’aide de ces valeurs, la matrice MITRE est mise à jour dynamiquement pour afficher uniquement les techniques associées aux attributs sélectionnés. Cette vue ciblée permet aux analystes de se concentrer davantage sur les tactiques, techniques et procédures (TTP) les plus pertinentes au cours des enquêtes.
En outre, les analystes peuvent affiner davantage les TTP en utilisant des filtres pour les logiciels malveillants, les outils, les balises et les niveaux de priorité.
Filtrage par groupe MITRE
Sélectionnez un groupe MITRE en tant qu’APT32 (G1001, voir la capture d’écran suivante). Lorsque vous appliquez ce filtre, la matrice MITRE se met à jour pour afficher uniquement les techniques directement liées au groupe sélectionné.
Cette vue ciblée aide les analystes à se concentrer spécifiquement sur les tactiques, techniques et procédures (TTP) associées au groupe de menaces sélectionné.
Lorsque vous appliquez le filtre, certaines techniques de la matrice s’affichent en bleu, tandis que d’autres techniques apparaissent en gris.
- Texte bleu : Les techniques ou sous-techniques affichées en bleu indiquent celles qui correspondent aux critères de filtre.
- Texte bleu en gras avec bordure bleue : Les techniques ou sous-techniques affichées en texte bleu gras avec une bordure bleue indiquent celles qui correspondent aux critères de filtre et qui sont associées à un ou plusieurs nœuds sur le canevas.
- Carte grise : Les techniques parentes sont affichées en gris lorsqu’elles ne correspondent pas directement aux critères de filtre (ce qui signifie qu’elles ne sont pas liées au groupe sélectionné) mais qu’elles représentent la relation parente avec les sous-techniques liées qui correspondent aux critères de filtre.