정보를 보안 인시던트와 연결 MITRE-ATT&CK

  • 릴리스 버전: Yokohama
  • 업데이트 날짜 2025년 01월 30일
  • 읽기3분

    • 더 나은 보안 인시던트 및 위협 분석을 위해 전술과 기술을 보안 인시던트와 연결합니다 MITRE-ATT&CK .

    시작하기 전에

    필요한 역할: sn_si.analyst

    이 태스크 정보

    MITRE-ATT&CK 보안 인시던트와 위협 정보의 상관 관계를 파악하여 더 나은 분석을 수행할 수 있도록 보안 인시던트에 전술 및 기술 정보를 추가합니다. 예를 들어 조직은 보고서 또는 외부의 다른 소스와 같은 위협 인텔리전스 외부 공급업체 소스로부터 전술, 기술 및 절차(TTP) 관련 정보를 받을 수 있습니다 보안 인시던트 응답. 그런 다음 더 나은 상관 관계 및 위협 분석을 위해 이 정보를 다시 추가합니다 SIR .

    위협 조회 자동 추출 결과, 옵저버블 또는 하위 보안 인시던트에서 보안 인시던트로 정보를 자동으로 롤업 MITRE-ATT&CK 하도록 선택할 수 있습니다. 보안 인시던트에 대한 자동 롤업의 경우 시스템 속성을 활성화합니다. 또는 각 개별 위협 조회 또는 옵저버블에 대한 정보를 수동으로 롤업할 수 있습니다.

    프로시저

    1. 다음으로 이동 모두 > 보안 인시던트 > 모든 인시던트 표시.
    2. 정보를 보강할 보안 인시던트를 MITRE-ATT&CK 선택합니다.
    3. MITRE ATT&CK 기술 연결 관련 링크를 클릭합니다.
      MITRE ATT&CK 기술 연결 창이 나타납니다.

      이 그림은 관련 목록으로 이동하여 연결 MITRE-ATT&CK 기술을 찾고, 소스 Enterprise ATT&CK를 검토하고, 방법 영향을 추가하고, 기술 시스템 종료/재부팅을 추가하는 방법을 보여줍니다.

    4. 소스를 선택합니다.
      주:
      활성화된 컬렉션 과 매트릭스 만 소스 목록에 나타납니다.
      소스와 관련된 전술과 기술을 선택할 수 있습니다. 여러 소스를 연결할 수도 있습니다.
    5. 전술과 기술을 선택하십시오.
    6. 옵션: 보안 인시던트와의 관련성에 따라 정보를 검토하고 다음을 수행합니다.
      • 연결을 완전히 제거하려면 bin 아이콘을 클릭합니다. 이 아이콘을 클릭하면 소스와 관련 전술 및 기술이 삭제됩니다.
      • 방법을 제거하려면 방법 옆에 있는 빼기 아이콘을 클릭합니다.
      • 기술을 제거하려면 기술 옆에 있는 x 아이콘을 클릭합니다.
    7. 저장을 클릭합니다.

    결과

    이 MITRE-ATT&CK 정보는 보안 인시던트와 연결됩니다. 이제 MITRE ATT&CK 카드에서 관련 정보를 볼 수 있습니다.

    종결된 보안 인시던트에 정보 연결 MITRE-ATT&CK

    이제 전술과 기술을 종결된 보안 인시던트에 연결하여 MITRE-ATT&CK 보안 인시던트 및 위협 분석을 개선할 수 있습니다.

    MITRE-ATT&CK 카드를 사용하여 보안 인시던트에서 관련 정보 보기

    카드를 사용하여 MITRE-ATT&CK 보안 인시던트에서 관련 정보를 볼 MITRE-ATT&CK 수 있습니다.

    위협 조회, 옵저버블 또는 SIEM 통합에서 정보가 롤업된 후 보안 인시던트에 추가됩니다. 그런 다음 집계된 정보가 카드에 표시됩니다 MITRE-ATT&CK . MITRE ATT&CK 카드에는 두 가지 뷰가 있습니다.

    • 네비게이터 뷰: 네비게이터와 MITRE-ATT&CK 유사한 이 뷰에는 옵저버블 또는 위협 조회 테이블에서 수동으로 추가하거나 롤업한 모든 기술이 표시됩니다. 기술의 원본 표시 는 수동으로 롤업되었거나 소스를 통해 롤업된 경우 기술의 소스를 표시합니다. Show ID 는 기술 ID를 표시합니다.

      다음 그림은 MITRE ATT&CK 카드 탐색기 보기로 이동하는 방법을 보여줍니다. 사용 가능한 링크 중 하나를 클릭하면 모듈에서 위협 인텔리전스 정보가 열립니다.

    • 목록 뷰: 이 뷰는 데이터를 목록 또는 테이블 형식으로 표시합니다. 이 뷰에서는 여러 테이블과 그룹에 분산된 모든 데이터를 볼 수 있습니다.

      다음 그림은 MITRE ATT&CK 카드 목록 보기로 이동하는 방법을 보여줍니다. 사용 가능한 링크 중 하나를 클릭하면 모듈에서 위협 인텔리전스 정보가 열립니다.