Оценка покрытия техник MITRE ATT&CK правилами экспертизы

Данный раздел описывает процесс работы с оценкой покрытия MITRE ATT&CK в системе. Работа осуществляется в разделе Инструменты → Покрытие MITRE ATT&CK веб-интерфейса системы.

Раздел доступен администраторам, пользователям, которые имеют соответствующее разрешение в составе своих ролей, а также учетным записям со статусом Суперадминистратор.

О MITRE ATT&CK

MITRE ATT&CK — это база знаний, содержащая сведения о видах и подвидах приемов, которые могут использовать злоумышленники. Такие виды и подвиды называются техниками и сабтехниками.

Раздел Инструменты → Покрытие MITRE ATT&CK предназначен для оценки того, какая доля техник и сабтехник MITRE ATT&CK обнаруживается правилами корреляции. Из раздела можно также перейти к правилам для конкретной техники или сабтехники.

Интерфейс раздела

Панель инструментов раздела содержит следующие компоненты:

Процент покрытия отображает долю техник и сабтехник MITRE ATT&CK, для которых в системе существуют правила корреляции.
Переключатель Только покрытые техники позволяет отобразить только те техники и сабтехники, которые покрыты правилами корреляции.

В рабочей области раздела отображается список техник и сабтехник:

Техники распределены по тактикам — этапам атаки. Список техник внутри тактики упорядочен по алфавиту.
В поле каждой техники отображаются ее название и номер. Например, Access Token Manipulation — T1134.
Если для техники выделены сабтехники, то в ее поле отображается кнопка для раскрытия списка. Чтобы скрыть список сабтехник, нажмите на кнопку .

Список сабтехник внутри техники упорядочен по номерам.
В поле каждой сабтехники отображаются ее название и номер. Например, Create Process with Token — T1134.002.

Состояние покрытия техник и сабтехник

Статус покрытия обозначается цветом в полях техник и сабтехник:

голубой — сабтехники и техники, полностью покрытые правилами;
желтый — техники, в которых покрыта только часть сабтехник.

Чтобы отобразить только те техники и сабтехники, для которых существуют правила, переведите переключатель Только покрытые техники на панели инструментов в активное положение.

Переход к правилам для техники или сабтехники

Чтобы перейти к правилам, покрывающим конкретную технику или сабтехнику, наведите курсор на ее поле и нажмите на появившуюся кнопку link . В новой вкладке откроется раздел Экспертиза с фильтрацией по тегу техники или сабтехники.