Das MITRE ATT&CK Framework ist eine frei zugängliche Wissensdatenbank, die weltweit als Referenzrahmen für die Techniken und Taktiken von Cyberkriminellen dient. MITRE ATT&CK berücksichtigt alle Lebenszyklusphasen eines Cyberangriffs, von der Planung und ersten Informationsbeschaffung bis hin zur Ausführung des Angriffs.

Ziele von MITRE ATT&CK

Das Framework soll helfen, Angriffe besser zu erstehen, zu erkennen, zu klassifizieren und abzuwehren. Sicherheitsteams wie Blue Teams können das Verhalten von Angreifern leichter nachvollziehen und bessere Schutzmaßnahmen entwerfen.

Auch Red Teams profitieren vom MITRE ATT&CK Framework. Mithilfe der beschrieben Techniken können sie Cyberangriffe simulieren und auf diese Weise die Sicherheitsmaßnahmen eines Unternehmens testen.

Aufbau des MITRE ATT&CK Frameworks

MITRE ATT&CK ist in Taktiken, Techniken und Abwehrmechanismen gegliedert.

• Taktiken: Die Kategorie „Taktik“ beinhaltet alle Techniken oder Untertechniken, die das „Warum“ einer Cyberattacke behandeln. Aufgelistet werden zum Beispiel Techniken mit dem Ziel Initial Access, Execution (Ausführung bösartigen Codes) oder Reconnaissance.
• Techniken: Eine Technik beschreibt eine spezifische Methode, mit der ein Angreifer sein Ziel erreichen möchte. Beispiele sind Methoden zu Password Cracking, der Kompromittierung von Social Media Accounts oder dem Löschen von Dateien.
• Abwehrmechanismen: Unter „Abwehrmechanismen“ werden zum einen alle Sicherheitskonzepte und Techniken gelistet, die einen Cyberkriminellen an der Ausführung einer Technik oder Untertechnik hindern. Außerdem sind in dieser Kategorie alle Ansätze beschrieben, die der Erkennung sowie der Analyse der Techniken von Gegnern dienen.

Diese Elemente werden in Matrizen kategorisiert. Dazu zählen die Enterprise Matrix für IT-Umgebungen, die Mobile Matrix und die ICS-Matrix für OT-Umgebungen bzw. industrielle Steuerungssysteme.

Anwendungsgebiete

Die Anwendungsgebiete des MITRE ATT&CK Frameworks sind vielfältig. Es unterstützt Sicherheitsexperten unter anderem in den folgenden Bereichen und Aktivitäten:

• Threat Detection und Threat Hunting
• Incident Response
• Red Teaming und Penetration Testing
• Security Operations Center (SOC)-Aktivitäten
• Mapping von Sicherheitsanalysen
• Reifegradanalysen

Fazit

MITRE ATT&CK hat sich zu einem Standard in der Cybersecurity-Branche entwickelt. Die Datenbank ist nicht nur ein Informationsspeicher, sondern vor allem ein wichtiges und qualitatives Werkzeug zur Verbesserung der Cybersicherheit, da sie das Angriffsverhalten realer Bedrohungsakteure offenlegt.

Zurück zum IT-Lexikon