Hvordan vi bruker ATT&CK i vårt sikkerhetsarbeid
Før jeg forklarer hvordan vi Fence AS bruker «ATT&CK» aktivt i vårt arbeid med våre kunder, er det viktig at man har full forståelse av hva det er og hva man kan bruke det til.
Hvordan bruker vi MITRE ATT&CK Framework (ATT&CK) i vårt sikkerhetsarbeid?
ATT&CK startet for mer en seks år siden som et internt prosjekt i MITRE, og har siden oppstarten utviklet seg til et stort «Open Project». ATT&CK er først og fremst en kunnskapsdatabase med beskrivelse av hundretalls av angreps metoder tidligere benyttet. Alle metodene er beskrevet med nok detaljer til at de som jobber med sikkerhet og beredskap kan benytte kunnskapen og bruke denne i det praktiske sikkerhetsarbeid. Alle dataene i kunnskapsdatabasen er basert på analyser av ekte hendelser og aktivitet. ATT&CK er ikke en statisk database, men en kontinuerlig dokumentering og publisering av nye metoder.
ATT&CK består av forskjellige matriser basert på forskjellige mål og plattformer
Enterprise: Metoder og teknikker benyttet for angrep mot Windows, Mac og Linux.
Cloud: Metoder og teknikker benyttet ved angrep mot f.eks. AWS, O365 & Azure.
Mobile: Metoder og teknikker benyttet mot mobile enheter som f.eks. iOS & Android.
Pre-ATT&CK: Metoder angripere benytter i forkant, ved utvelgelse og kartlegging av mål.
ICS: Metoder og teknikker benytte ved angrep mot kontroll og industrisystemer.
Lær mer om MITRE ATT&CK på https://attack.mitre.org/
Hvordan bruker vi MITRE ATT&CK i arbeidet mot våre kunder?
Vi i Fence AS jobber aktivt med våre kunder i forhold til å best mulig forhindre sikkerhetshendelser som datainnbrudd. Dette gjør vi gjennom grundig produktanalyse og ved å levere sikkerhetsprodukter som både er målt mot ATT&CK, men som også er nøye utvalgt med tanke på god historikk som nytenkende og effektive mot nye angrepsmetoder. Vi jobber aktivt mange hundre Norske virksomheter, og vi bruker kunnskapen vi får fra disse kundene sammen med metodene publisert av ATT&CK til å hele tiden komme med nye anbefalinger, endringer i konfigurasjon på eksisterende løsning eller eventuelt nye tiltak.
De fleste sikkerhetstiltak hos norske virksomheter handler i dag om å forhindre en sikkerhetshendelse. Og det er ekstremt viktig at man i dag har en stødig og moderne grunnsikkerhet bygd for å forhindre hendelser. Man bør ha på plass alt grunnleggende som Brannmur, Anti-Virus, E-post sikkerhet, patching & sikker autentisering. Vi tenker at man skal jobbe mot «Zero trust» modell. Og denne grunnleggende sikkerheten må omfatte alle sky-tjenester og andre leverandører.
Men på tross av alle sikkerhetstiltak man kan etablere, så vil det alltid dukke opp nye metoder og man må regne med at man vil oppleve sikkerhetshendelser som datainnbrudd, datatyveri, ransomeware og nye typer angrep vi ikke kjenner. Derfor bruker vi også ATT&CK når vi jobber med gjenkjennelse av sikkerhetshendelser, når vi jobber med overvåking av sikkerheten hos våre kunder med blant annet vår Managed Detection & Response tjeneste (Fence MDR). Alle sikkerhetseksperter i dag anerkjenner sannheten om at det ikke er snakk om hvis, men når man skal oppleve en hendelser. Den dagen hendelsen oppstår kan man ikke bare stole på at EDR løsningen man har investert i fungerer og oppdager. For å oppdage alvorlige hendelser er det sannsynlig at man trenger eksperter som jobber daglig med analyse av hendelser, analyse av falske positiver & sikkerhetstesting. Vi i Fence bruker ATT&CK både som inspirasjon ved gjennomføring av Redteam øvelser, Penetrasjonstesting, og som kunnskapsdatabase ved analyse av sikkerhetshendelser.
Fence Managed Detection & Response er bygd på RDR-plattformen til F-Secure. F-Secure sin løsning har blitt testet grundig sammen med mange andre EDR løsninger. MITRE ATT&CK gjennomfører en uavhengig test av de forskjellige produsentene, og beskriver styrker og svakheter, men ingen vinner blir valgt, kun publisering av resultatene.
La oss presentere oss som selskap og hvordan vi kan støtte deg i å hele tiden bli sikrere.