MITRE ATT&CK v10 发布

MITRE ATT&CK v10 发布

Version Start Date End Date Data
ATT&CK v10 October 21, 2021 This is the current version of ATT&CK v10.0 on MITRE/CTI

2021 年 10 月,MITRE ATT&CK 发布了最新版本 V10,包括对 ATT&CK for Enterprise,ATT&CK for Mobile、ATT&CK for ICS 相关的攻击技术、组织、软件的更新。这个版本最大的改变有以下几点:

  1. 在 ATT&CK for Enterprise 中新增了一套数据源与数据组件对象,以对 v9 版本发布的数据源更新进行补充。

  2. 重命名了 T1185 and T1557 ,弃用了 T1053.004 ,以更好的表达对手行为

ATT&CK for Enterprise v10 包括 14 个战术,188 个技术, 和 379 个子技术,129 个组织、638 个软件。

这个版本,一共包括 38 类数据源。

关于这次版本更新最最详细的描述在这里

数据源重构

我们知道,在 v9 的更新里,最重大的改变就是数据源重构,可以参考这里:MITRE ATT&CK v9 发布。在 v10 版本里,对数据源做了更进一步的改进,在 v9 的基础上,重新组织了数据源对象(有点跟缓解措施类似)。

数据源对象包含了更多的细节,包括:

  1. ID
  2. 定义
  3. 采集层(哪里能采集到数据)
  4. 平台(跟哪几个平台相关)

如下图所示(网络流量:创建网络连接):

在技术/子技术的页面的检测部分,对数据源进行了更详细的描述,列出了数据源 ID,数据源,数据组件对象,如下图:

下面是同一个子技术(T1055.001) v9 版本的检测部分的描述:

ATT&CK for Enterprise 可以使用所有这些数据源,包括 OSINT 相关的可以 Map 到 PRE 平台的数据源。

ATT&CK 的 STIX也可以使用这些数据源,以及数据组件对象,可以展示数据源,数据组件对象,以及检测技术之间的关系,如下图:

这个版本最大的改变依然是数据源重构,主要目的是将数据源与攻击行为的检测关联起来,为攻击行为检测服务

macOs 和 Linux 相关的改进

虽然针对 Linux 与 macOS 的攻击一直在进行,但公开报告中并不多见,但通过与全球的 macOS / Linux 安全研究者合作,对 macOS 和 Linux 的改进一直在进行,覆盖度也一直在增加。

这个版本更新了 macOS 相关的数据源。

ICS 相关的改进

ATT&CK for ICS 跟 ATT&CK for Enterprise 没有本质的区别。一些以前只在 ICS 矩阵中的软件(比如:Industroyer 和 Stuxnet 等),这次在企业矩阵中进行了映射。攻击者才不会拘拟于 ICS 或 Enterprise。

跟 ICS 相关的数据源描述,目前还停留在 v9 版本,后续版本会对齐企业矩阵。

Mobile

目标是对齐 ATT&CK for Enterprise,后续版本才会改进。

©著作权归作者所有,转载或内容合作请联系作者
平台声明:文章内容(如有图片或视频亦包括在内)由作者上传并发布,文章内容仅代表作者本人观点,简书系信息发布平台,仅提供信息存储服务。

推荐阅读更多精彩内容