Les équipes de sécurité subissent une pression constante pour suivre le rythme des adversaires dont les outils, l’infrastructure et les méthodes d’attaque continuent d’évoluer. Les indicateurs traditionnels de compromission (IOC) restent précieux, mais ils n’offrent qu’une vue partielle d’une menace et peuvent devenir moins pertinents à mesure que les attaquants modifient les hachages de fichiers, les adresses IP, les domaines et d’autres artefacts observables. Les organisations ont également besoin d’une connaissance approfondie des comportements antagonistes pour comprendre le déroulement des attaques, identifier les faiblesses de leurs défenses et hiérarchiser les ressources SecOps limitées. Le cadre MITRE ATT&CK offre un moyen standardisé d’organiser ces renseignements autour des tactiques, techniques et procédures utilisées par les adversaires.
Lorsqu'ils sont enrichis de renseignements sur les menaces actuels et exploitables, les TTP mappés ATT&CK peuvent aider les organisations à hiérarchiser la chasse aux menaces, l'association violette, les tests de sécurité, l'ingénierie de détection et la réponse aux incidents. Fortinet applique les renseignements de FortiGuard Labs dans son portefeuille SecOps, permettant aux équipes de sécurité de reproduire en toute sécurité les comportements antagonistes, d’évaluer l’efficacité des contrôles existants et d’identifier les lacunes dans la détection, l’atténuation et la réponse. Cette approche fondée sur les menaces traduit les renseignements en flux de travail SecOps pratiques et aide les organisations à adapter leurs défenses à mesure que les adversaires font évoluer leurs outils et tactiques.
Le domaine de la cybersécurité a subi un profond changement dans son approche de la détection et de l’atténuation des menaces. Traditionnellement, l’accent était mis sur les IOC, qui sont des points de données spécifiques tels que les hachages de logiciels malveillants ou les adresses IP malveillantes connues. Ces indicateurs jouent un rôle essentiel dans l’identification des violations après qu’elles se soient produites. Cependant, bien que les CIO soient efficaces pour reconnaître les menaces connues, ils sont moins efficaces pour détecter les attaques nouvelles ou sophistiquées. Les adversaires peuvent facilement modifier ces indicateurs, ce qui rend les CIO moins efficaces. De plus, les IOC ne fournissent pas d’informations stratégiques pour améliorer les capacités de sécurité contre les dernières attaques.
Cette lacune dans l’approche traditionnelle a ouvert la voie à une stratégie plus avancée : IOA utilisant le cadre MITRE ATT&CK. Contrairement aux IOC, les indicateurs d’attaque (IOA) ne sont pas centrés sur les outils ou les artefacts utilisés par les attaquants. Ils se concentrent plutôt sur le comportement de l’attaquant, comme les tactiques, techniques et procédures (TTP). Ce passage à une approche centrée sur le comportement permet une détection précoce des attaques, souvent à leurs stades initiaux, potentiellement avant qu’un dommage significatif ne se produise. En adoptant une stratégie d’opérations de sécurité axée sur le TTP, les organisations peuvent identifier et combler de manière proactive les lacunes en matière de détection, d’atténuation et de réponse, en s’assurant que des défenses solides sont en place avant que les menaces ne tentent d’enfreindre le périmètre de sécurité.
Cette évolution de l’IOC à l’IOA marque un passage d’une posture de sécurité réactive à une posture de sécurité proactive. En se concentrant sur le comportement des attaquants et les TTP, les organisations sont mieux équipées pour détecter et contrer les menaces avant qu’elles ne se transforment en violations à part entière. Cette position proactive est de plus en plus cruciale dans le paysage moderne de la cybersécurité, où les attaquants affinent continuellement leurs tactiques pour contourner les défenses de sécurité traditionnelles. L’intégration de MITRE ATT&CK dans ce cadre enrichit la Cyberthreat Intelligence (CTI) et permet une intégration transparente aux processus d’opérations de sécurité. Cet alignement améliore non seulement l’efficacité de la détection des menaces, mais améliore également la résilience globale des défenses de cybersécurité contre la nature en constante évolution des cybermenaces.
Les menaces avancées laissent rarement des indicateurs stables, car les adversaires utilisent souvent de nouvelles techniques ou des mises en œuvre plus évasives de techniques connues pour éviter la détection. Bien que les IOC tels que les hachages de fichiers, les adresses IP et les domaines puissent changer rapidement, les objectifs et comportements sous-jacents des adversaires ont tendance à être plus persistants. Les IOA doivent donc se concentrer sur le comportement observé sur les endpoints, les réseaux et les environnements cloud. Les recherches sur l’injection de modèles RTF pour récupérer les charges utiles malveillantes et les techniques d’injection de processus PoolParty montrent que les adversaires continuent à développer de nouvelles façons de livrer et d’exécuter du code malveillant tout en échappant aux défenses établies. Les équipes de sécurité doivent être en mesure de saisir ces développements dans les métiers adversaires et de reproduire les comportements pertinents pour tester leurs défenses.
De même, les cartographies ATT&CK de haut niveau ne fournissent pas suffisamment de détails pour déterminer si une organisation est protégée. Différentes implémentations procédurales de la même technique peuvent générer différentes télémétries, suivre différents chemins d’exécution et produire différents résultats lorsqu’elles sont évaluées par des contrôles de sécurité. Un produit peut détecter ou atténuer une mise en œuvre d’une technique tout en en manquant une autre. La couverture au niveau technique peut donc créer un faux sentiment de sécurité, à moins que les tests ne tiennent également compte de la manière dont la technique est mise en œuvre.
La gestion d’une attaque spécifique nécessite une analyse experte de l’ensemble de la chaîne d’attaque et de ses détails procéduraux. Les analystes doivent reproduire la séquence d’événements pertinente dans un environnement contrôlé, y compris la charge utile malveillante, le cas échéant, pour déclencher les chemins de code pertinents et observer comment les contrôles de sécurité réagissent à chaque étape. Cette analyse approfondie permet aux organisations d’identifier les lacunes spécifiques en matière de détection, d’atténuation et de réponse entre les personnes, les processus et la technologie, et de déterminer où concentrer les ressources pour améliorer leur posture de sécurité.
Fortinet se démarque dans le domaine de la cybersécurité en fournissant des renseignements complets en temps réel sur les menaces. Nos solutions comprennent FortiTester, FortiDeceptor, FortiAnalyzer, FortiSOAR, FortiSIEM et FortiEDR, qui travaillent ensemble pour créer une structure de sécurité robuste et informée des menaces qui prend en charge les flux de travail SecOps. Lorsque FortiGuard Labs identifie une épidémie, ses chercheurs développent et livrent des packs de renseignements sur les menaces pour aider les organisations à évaluer comment détecter, atténuer et répondre à la menace. Certains de ces packs de renseignements comprennent :
L’association rouge FortiRecon a été conçue pour imiter les modèles d’attaques contradictoires dans un environnement contrôlé. En intégrant les derniers TTP de renseignements contradictoires dans FortiRecon, les organisations peuvent évaluer leur préparation aux menaces émergentes. Cette approche proactive permet d’identifier et de corriger les failles de sécurité avant qu’elles ne puissent être exploitées.
FortiDeceptor crée des vulnérabilités simulées dans le réseau, agissant comme un point de miel pour attirer les attaquants. Cet outil est essentiel pour comprendre le comportement des attaquants et les TTP utilisés dans des scénarios réels. Les renseignements recueillis ici peuvent être essentiels pour affiner les stratégies de chasse aux menaces. Lorsqu’une vulnérabilité spécifique est activement exploitée à l’état sauvage, le FortiDeceptor Intelligence Pack pour ce service vulnérable peut être utilisé pour y attirer les attaquants, en leur fournissant des renseignements opportuns et précis. Étant donné que les attaquants ont tendance à être attirés par des fruits bas, la reconnaissance active dans votre environnement est très efficace pour gagner un avantage contre les intentions contradictoires.
FortiAnalyzer est essentiel pour l’agrégation et l’analyse des journaux de sécurité et des IOC. En intégrant les TTP dans FortiAnalyzer, les entreprises peuvent passer au crible de grands ensembles de données pour identifier des modèles indicatifs de cybermenaces sophistiquées. Si votre organisation a été violée par cette campagne, vous pouvez rechercher dans vos journaux réseau l’historique de l’activité afin de déterminer si un appareil a communiqué avec une infrastructure contrôlée par un attaquant.
FortiSOAR, avec ses playbooks compatibles SIGMA, rationalise la réponse aux incidents. Il utilise des TTP pour automatiser les réponses et orchestrer des processus complexes, réduisant ainsi le délai entre la détection et la réponse. Cela est essentiel pour atténuer l’impact des attaques. Grâce à ce pack de renseignements, vous pouvez analyser vos terminaux et vos périphériques réseau pour détecter les signes d’activité malveillante, obtenir des informations approfondies sur le comportement des attaquants et ce qui s’est passé, et fournir un moyen sécurisé et simplifié d’identifier les actifs compromis.
Bien que les signatures IPS, les définitions antivirus et les IOC réseau et hôte restent des contrôles de sécurité essentiels, ils ne peuvent pas fournir une couverture complète par eux-mêmes. Les adversaires peuvent modifier les charges utiles, l’infrastructure, les mécanismes de livraison et d’autres artefacts observables plus rapidement que les organisations ne peuvent mettre à jour les détections statiques. L’analyse basée sur le comportement mappée à MITRE ATT&CK complète ces contrôles en aidant les défenseurs à évaluer la couverture par rapport aux techniques et procédures utilisées dans les campagnes actuelles.
FortiSOAR TTP Mappings for the Fabric permet aux solutions Fortinet de publier leurs mappages TTP mis à jour sur FortiSOAR, qui, lorsqu’ils sont intégrés à l’intégration Outbreak ou Tidal, peuvent fournir une analyse des écarts hiérarchisés des campagnes antagonistes et des logiciels malveillants. Avec cette fonctionnalité, vous pouvez obtenir une liste hiérarchisée des techniques utilisées par les adversaires que votre pile de sécurité peut ne pas couvrir. Cela vous aide à concentrer vos efforts sur leur résolution rapide avec d’autres contrôles ou sur l’acceptation du risque et de la surveillance. Ces mappages permettent également de déterminer si une technique est détectée mais non atténuée, ou si elle peut être arrêtée si une configuration spécifique est déployée dans les produits existants. Grâce à cette intelligence hiérarchisée, vous pouvez piloter des processus SecOps tels que la collecte de renseignements, l’émulation contradictoire, l’équipe violette et l’ingénierie de détection.
L’outil de détection et de réponse améliorées (EDR) utilise des packs de chasse, des collections de TTP et d’IOC, pour rechercher activement les menaces au sein du réseau. Cela permet aux organisations de passer d’une position réactive à une position proactive en matière de cybersécurité. Grâce à ce pack de renseignements, vous pouvez commencer à recueillir des informations provenant de votre environnement sur les TTP observés lors de cette attaque, en recherchant efficacement les mauvaises connues.
La clé pour tirer efficacement parti de ces outils réside dans la création d’un ensemble de données TTP complet. Voici les étapes effectuées par nos analystes :
1. Agrégation des données : Nous collectons des données sur les incidents à partir de sources telles que les flux de renseignements sur les menaces externes, les rapports d’incident internes, les bases de données publiques et la télémétrie à partir des produits Fortinet déployés sur le terrain. Nous ingérons la télémétrie des produits dans un lac de données pour obtenir une compréhension complète de l’ensemble de l’attaque, telle qu’observée à travers différentes technologies de détection. L’ensemble est supérieur à la somme de ses parties, en grande partie en raison du contexte qu’il fournit.
2. Analyse de campagne : À l’aide d’analyses manuelles et automatisées, nous passons en revue les campagnes, évaluons tous les comportements et les mappons aux profils MITRE ATT&CK. Cela nous aide à suivre l’évolution des acteurs de cybermenaces spécifiques et les changements dans leurs techniques et compétences.
3. catalogage/conservation TTP : L’organisation des TTP dans un format structuré qui peut être facilement accessible et utilisé par différents outils SecOps fournit un aperçu de la fréquence à laquelle les attaquants modifient ces TTP ATT&CK, de l’action de chaque mise à jour et de la manière de les répliquer automatiquement.
4. Mise à jour continue : Maintenir l’ensemble de données TTP à jour avec les dernières informations garantit que les défenses de l’organisation évoluent avec le paysage des menaces. Cela se produit chaque fois que notre équipe mène une enquête active pendant une réponse à un incident (mondiale ou spécifique au client) ou lorsqu’une campagne passe à l’utilisation de procédures nouvelles ou plus évasives pour mettre en œuvre une technique.
5. Packs d’informations publiés : Cette dernière étape intègre nos capacités d’analyse et de réponse dans nos produits, et donc entre vos mains, offrant un moyen puissant d’évaluer la préparation de votre organisation aux dernières attaques, le tout à portée de main.
Même avec les informations procédurales, nous pouvons et devons toujours faire plus pour améliorer les capacités de détection. Un projet appelé Summiting the Pyramid de MITRE vous aidera à comprendre jusqu’où vous vous trouvez dans la pyramide de la douleur lorsque vous essayez de détecter chaque technique spécifique. C’est quelque chose que vous pouvez et devez explorer si vous rédigez des règles SIEM personnalisées.
Le SecOps Fabric de Fortinet intègre ces éléments et packs de renseignements dans un cadre cohérent. En fournissant des renseignements exploitables via des outils tels que FortiTester et FortiSOAR, les organisations peuvent automatiquement tester leurs environnements par rapport aux nouveaux TTP ATT&CK. Cette automatisation permet non seulement de gagner du temps, mais garantit également des mises à jour continues de vos défenses en réponse aux dernières évolutions du paysage des menaces.
Les SecOps éclairées par les menaces ne remplacent pas les indicateurs traditionnels ou les contrôles de sécurité. Il intègre les renseignements actuels sur les menaces à des flux de travail reproductibles de test, de recherche, de détection et de réponse. En cartographiant les comportements antagonistes détaillés à MITRE ATT&CK et en appliquant ces renseignements à l’ensemble du Fortinet Security Fabric, les organisations peuvent identifier leurs lacunes de couverture les plus importantes et concentrer leurs ressources sur les domaines où elles auront le plus grand impact.
[1] [CISA] <#StopRansomware: Royal Ransomware> : https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-061a
[2] [Forbes] <How to build ASCA into your Line of Cybersecurity Defense> : https://www.forbes.com/sites/forbestechcouncil/2023/10/03/how-to-build-asca-into-your-line-of-cybersecurity-defense/?sh=4582a8b017ec
[3] [Crowdstrike] <What is an indicator of Attack?> : https://www.crowdstrike.com/cybersecurity-101/indicators-of-compromise/ioa-vs-ioc/
[4] [IntelligenceSécurité] <IOCs vs. IOA – How to Effectively Leverage Indicator> : https://securityintelligence.com/posts/iocs-ioas-how-to-leverage-security-indicators/
[5] [ProofPoint] <Injection is the new Black: Novel RTF Template Inject Technique Poised for widespread Adoption Beyond APT Actors> : https://www.proofpoint.com/us/blog/threat-insight/injection-new-black-novel-rtf-template-inject-technique-poised-widespread
[6] https://detect.fyi/rhysida-ransomware-and-the-detection-opportunities-3599e9a02bb2
[7] https://media.licdn.com/dms/image/D5622AQHGx6Wvv6FYpA/feedshare-shrink_2048_1536/0/1701191137777?e=1704931200&v=beta&t=RAtybIk5cOt4TM0IJT8ulHgqJnGU82I-kUTVvxxukXs
[8] [TheHackerNews] Nouvelles techniques d’injection de processus PoolParty surpassent les meilleures solutions EDR https://thehackernews.com/2023/12/new-poolparty-process-injection.html
[9] [Fortinet] < FortiTester Product> : https://www.fortinet.com/products/fortitester
[10] [Fortinet] < FortiDeceptor Product> : https://www.fortinet.com/products/fortideceptor
[11] [Fortinet] < FortiAnalyzer IOC Service> : https://www.fortinet.com/support/support-services/fortiguard-security-subscriptions/fortiguard-indicators-of-compromise-service
[12] https://detect.fyi/rhysida-ransomware-and-the-detection-opportunities-3599e9a02bb2
