Articolo Pubblicazioni

MITRE ATT&CK: com’è nato (2015) il linguaggio comune per descrivere gli attaccanti

di · Pubblicato il 13 luglio 2015

Abstract

Nel 2015 MITRE ha reso pubblico ATT&CK, acronimo di Adversarial Tactics, Techniques and Common Knowledge, una base di conoscenza che descrive i comportamenti degli attaccanti dopo l’accesso iniziale a una rete Windows. L’articolo spiega da dove nasce, come è organizzato in tattiche e tecniche, in che cosa si distingue dalla kill chain e come può essere usato da chi deve rilevare e analizzare gli attacchi.

Vincenzo Calabrò | MITRE ATT&CK: com’è nato (2015) il linguaggio comune per descrivere gli attaccanti
 

L’origine

MITRE è un’organizzazione statunitense senza scopo di lucro che gestisce centri di ricerca finanziati dal governo federale e che cura, tra l’altro, l’elenco delle vulnerabilità CVE. Dal 2013 un suo gruppo ha condotto un esperimento in un ambiente di rete reale, con utenti veri, per capire come rilevare un avversario dopo che è riuscito a entrare. La domanda era concreta. Gli strumenti tradizionali si concentrano sull’ingresso, con firewall, antivirus e filtri sulla posta. Una volta superati, l’attaccante si muove nella rete usando spesso strumenti legittimi del sistema operativo, e diventa difficile distinguerlo da un amministratore.
Per organizzare le osservazioni il gruppo ha costruito una classificazione dei comportamenti degli attaccanti, basata su rapporti pubblici di incidenti e su esperienze dirette. Quella classificazione, resa pubblica nel 2015, è ATT&CK.

La struttura

ATT&CK è organizzato su due livelli. Le tattiche rappresentano gli obiettivi dell’attaccante in una certa fase, cioè il perché di un’azione. Le tecniche rappresentano il modo in cui l’obiettivo viene raggiunto, cioè il come. La versione pubblicata comprende queste tattiche:
  1. persistenza, per mantenere l’accesso anche dopo riavvii o cambi di credenziali;
  2. elevazione dei privilegi;
  3. elusione delle difese;
  4. accesso alle credenziali;
  5. ricognizione dell’ambiente, cioè la scoperta di sistemi, account e configurazioni;
  6. movimento laterale;
  7. esecuzione di codice;
  8. raccolta dei dati di interesse;
  9. esfiltrazione;
  10. comando e controllo.
Per ciascuna tecnica la base di conoscenza fornisce una descrizione, gli esempi di gruppi o malware che la usano tratti da fonti pubbliche, le fonti di dati utili per rilevarla e le possibili mitigazioni. Esempi di tecniche sono la creazione di servizi o di attività pianificate per la persistenza, il furto di credenziali dalla memoria, l’uso di condivisioni amministrative per il movimento laterale, l’esecuzione di comandi con PowerShell.

Il rapporto con la kill chain

La Cyber Kill Chain proposta da Lockheed Martin nel 2011 descrive un attacco in sette fasi, dalla ricognizione alle azioni sugli obiettivi. È un modello utile per ragionare sulle fasi in cui interrompere un attacco, ma tratta in modo sintetico ciò che accade dopo l’installazione. ATT&CK entra proprio in quella parte, con un dettaglio molto maggiore e con un orientamento pratico al rilevamento. I due modelli si completano. La kill chain offre la visione d’insieme, ATT&CK il dettaglio operativo.

Perché è utile

Il valore principale di ATT&CK è il linguaggio comune. Prima, un rapporto di threat intelligence descriveva il comportamento di un gruppo con parole proprie, e confrontare rapporti diversi era difficile. Con ATT&CK le stesse azioni hanno lo stesso nome e lo stesso identificativo. Questo consente vari usi:
  • valutare la copertura delle difese, verificando per quali tecniche si dispone di fonti di dati e regole di rilevamento;
  • descrivere un incidente in modo confrontabile con altri incidenti e con i rapporti pubblici;
  • costruire test che simulano tecniche reali, per verificare che il rilevamento funzioni;
  • dare priorità agli investimenti, partendo dalle tecniche più usate dai gruppi che minacciano il proprio settore.

Un esempio

Si pensi a un incidente tipico. Un dipendente apre un allegato malevolo, che avvia un comando PowerShell per scaricare un programma di controllo remoto. Il programma crea un’attività pianificata per riavviarsi a ogni accensione, poi un modulo legge dalla memoria le credenziali degli utenti collegati. Con le credenziali di un amministratore l’attaccante si collega ad altri server tramite le condivisioni amministrative, elenca le cartelle di rete, comprime i documenti di interesse e li invia a un server esterno con connessioni HTTPS.
Descritto con ATT&CK, l’incidente diventa una sequenza di tecniche precise, cioè esecuzione tramite PowerShell, persistenza tramite attività pianificata, accesso alle credenziali tramite lettura della memoria, movimento laterale tramite condivisioni amministrative, ricognizione delle condivisioni di rete, raccolta e compressione dei dati, esfiltrazione sul canale di comando e controllo. Per ciascuna si può chiedere se esisteva una fonte di dati capace di registrarla e una regola capace di segnalarla. Le risposte indicano dove migliorare.

I limiti

ATT&CK descrive ciò che è noto dalle fonti pubbliche e dalle osservazioni di MITRE, quindi è per natura incompleto e in evoluzione. La versione iniziale riguarda gli ambienti Windows aziendali. Una tecnica coperta da una regola non significa che ogni sua variante sia rilevata, e un rilevamento che genera troppi falsi positivi rischia di essere ignorato. Usare la matrice come una lista di caselle da colorare porta a una falsa sensazione di sicurezza. Il suo valore sta nell’uso ragionato, collegato alle minacce reali e ai dati disponibili.

Che cosa serve per usarlo

Per sfruttare ATT&CK un’organizzazione ha bisogno di dati sugli endpoint, perché molte tecniche si osservano solo lì, come la creazione di processi, le modifiche al registro, le connessioni di rete per processo, i comandi eseguiti. I log dei soli apparati di rete lasciano scoperte gran parte di queste tecniche. Strumenti come Sysmon di Microsoft, gratuito, e le soluzioni commerciali di rilevamento sugli endpoint forniscono queste informazioni. Il passo successivo è costruire regole e procedure di analisi per le tecniche più rilevanti, e verificarle con test controllati.
 
Vedi anche: l’articolo del 2011 La Cyber Kill Chain, l’articolo del 2019 Tattiche, tecniche e procedure (TTPs) e l’articolo del 2026 MITRE ATT&CK v19.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn