MITRE-ATT&CK のヒートマップとナビゲーター
MITRE-ATT&CK のヒートマップとナビゲーターを使用して、基本的なナビゲーションを行い、全体的なテクニックディスカバリー範囲をビジュアル化できます。
MITRE-ATT&CK のヒートマップとナビゲーターにアクセスする
MITRE-ATT&CK のヒートマップとナビゲーターにアクセスして、ATT&CK を利用できるマトリクスをビジュアル化できます。
始める前に
このタスクについて
手順
カスタムビューの使用
MITRE-ATT&CK のヒートマップとナビゲーターのカスタムビューを使用すると、お気に入りのフィルターを保存して、次回ヒートマップにアクセスしたときに表示できます。
ビューの作成
[プライマリ] フィルターまたは [詳細] フィルターから必要なフィルターを選択したら、[フィルター] ヘッダーの省略記号 (...) ボタンをクリックし、[新規ビューを作成] を選択します。カスタムビュー名を入力し、[ビューを保存] をクリックします。
デフォルトビュー
[デフォルトビューとして保存] をクリックすると、次にヒートマップにアクセスしたときにビューが直接ロードされます。各コレクションのデフォルトビューを設定できます。
ビューの更新
必要な [プライマリ] フィルターまたは [詳細] フィルターを変更することで、既存のカスタムビューを更新できます。カスタムビューを選択し、必要に応じてフィルターを更新して、[フィルター] ヘッダーの省略記号 (...) ボタンをクリックし、[ビューの更新] を選択してフィルターを保存します。
カスタムビューの管理
各カスタムビューの横にあるチェックボックスを使用して、選択したカスタムビューフィルターを適用します。
- デフォルトビューを設定します。
- デフォルトビューとしてのカスタムビューを削除します。カスタムビューは削除されません。
- カスタムビューの名前を変更します。
- カスタムビューを削除します。
保存されたビューのエクスポート
保存されたカスタムビューを JSON ファイルにエクスポートするには、[フィルター] ヘッダーの省略記号 (…) をクリックし、[保存されたビューのエクスポート (Export saved views)] を選択します。ローカルコンピューターにダウンロードするカスタムビューのダウンロードアイコンをクリックします。
ビューのインポート
JSON ファイルのみをインポートできます。カスタムビューをインポートするには、[フィルター] ヘッダーの省略記号 (…) ボタンをクリックし、[ビューのインポート (json)] を選択します。
- インポートできるのは JSON ファイル形式のみです。
- 一度にインポートできるビューまたはファイルは 1 つのみです。
- フィルターに既に 3 つのカスタムビューがある場合は、インポートできません。カスタムビューを削除し、ビューをインポートします。
- 既存のカスタムビュー名のビューをインポートすることはできません。インポートする前にビューの名前を変更します。
プライマリフィルターを使用したナビゲーター
プライマリフィルターを使用して、MITRE-ATT&CK ナビゲーターでテクニックをフィルタリングします。MITRE-ATT&CK リポジトリ内の情報を選択できます。
| フィルター | 説明 |
|---|---|
| 攻撃者グループ (脅威グループ) | セキュリティコミュニティで共通の名前で追跡される、関連する侵入アクティビティのセット。グループは、さまざまな脅威グループ、アクティビティグループ、攻撃者、侵入セット、およびキャンペーンを意味します。[攻撃者グループ (脅威グループ)] フィルターに複数のグループを追加できます。 たとえば、APT1 と AT12 はどちらも中国に起因する脅威グループであるため追加するとします。両方のグループが異なるソースを標的にする可能性がありますが、同様のテクニックを使用できます。 |
| ツール | 攻撃者が攻撃を実行するために使用する正当なソフトウェア。攻撃者がどのようにどのツールを使用しているかを把握できれば、攻撃者がどのようにキャンペーンを実行するかを理解できます。ツールには、エンタープライズシステムに存在しないソフトウェアと、Microsoft Windows ユーティリティなど、環境に既に存在するオペレーティングシステムの一部として利用可能なソフトウェアの両方が含まれています。 たとえば、gsecdump は、APTI1 攻撃者グループが Microsoft Windows オペレーティングシステムからパスワードハッシュと LSA シークレット (ローカルセキュリティ機関) を取得するために使用する、公開されている認証情報ダンパーです。 |
| マルウェア | 攻撃者が悪意のある目的で使用することを意図した、商用、カスタムのクローズソース、またはオープンソースのソフトウェア。 例としては、PlugX、CHOPStick などがあります。 |
| プラットフォーム | 特定のプラットフォームで MITRE-ATT&CK を表す戦術とテクニック。 たとえば、MITRE-ATT&CK は Enterprise ATT&CK マトリクスのプラットフォーム (Microsoft Windows、macOS、Linux、PRE、AWS、GCP、Azure、Azure AD、Office 365、SaaS、Network) をサポートしています。 |
| データソース | 環境内で収集し、MITRE-ATT&CK テクニックを検出するために使用するデータソース。 例として、DLL モニタリング、ブラウザー拡張があります。 |
プライマリ機能と高度な機能を備えたヒートマップの使用
詳細フィルターを備えたヒートマップを使用して、セキュリティインシデントを MITRE-ATT&CK 情報と関連付けることができます。
検出と緩和対象範囲の表示
テクニック検出とテクニック緩和対象範囲フィルターを一緒に使用して、組織のテクニック検出と緩和対象範囲を把握できます。