Мне очень нравится подход Threat-Informed Defense (TID). Вместо магии с оценкой рисков, моделированием угроз/НС или субъективного метода «трех П» (пол-палец-потолок), TID предлагает практико-ориентированный подход. Защита строится против реальных противников с известными TTPs. Здесь ключевым инструментом становится MITRE ATT&CK как база знаний методов атакующих. У MITRE даже есть целый проект INFORM , где TID разложен на три измерения: Cyber Threat Intelligence, Defensive Measures и Test & Evaluation
Логика подхода простая: определили , какие группировки и техники актуальны для вашей индустрии и компании, выстроили защиту и обнаружение, проверили, что она работает. Подход помогает ответить на вопрос – ПОЧЕМУ защитные меры именно такие и ЗАЧЕМ мы это детектим. Минусов у подхода тоже хватает: требует CTI-зрелости, аттрибуция часто запаздывает. По хорошему использовать в совокупности с другими методами
И вот тут начинается интересное. Для детекта нужных техник инструментов полно: Sigma-правила, data sources в самой матрице, Summiting the Pyramid для оценки качества детектов, Atomic Red Team и еще куча других проектов для проверки. А вот с защитными мерами затык.
Раздел Mitigations в ATT&CK всегда был слабым местом. И даже не смотря на то, что с v16 матрицы описания рекомендаций были расширены это все равно несколько десятков общих формулировок уровня «User Training».
CIS Controls, наоборот, один из самых практичных контрольных фреймворков: не такой суровый как NIST 800-53 или SCF, без лишней технической детализации и уже проставленными приоритетами. И он реально не единично используется коммерческими компаниями в РФ
Что сделали: Center for Threat-Informed Defense вместе с CIS, Citigroup, CrowdStrike и еще кучей аналитических компаний сопоставили фрейм с поведением атакующих из MITRE ATT&CK. Маппились защитные меры из версии v8.1 на техники и подтехники ATT&CK v19.1. Т.е свежее на свежее. Итоговых связей с техниками получилось более 1200
Зачем это надо: маппинг позволяет перейти к пониманию того, какие именно действия противника блокирует та или иная мера. В общем провести gap-анализ: эта техника для нас актуальна - эти меры у нас есть.
Все материалы — сами маппинги, слои для ATT&CK Navigator и методология — доступны на Mappings Explorer. В самом же CIS Critical Security Controls Navigator где представлены официальные маппинги проекта – пока тишина.
P.S. Если заморачиваться не хочется – можно просто внедрить меры из набора IG3. 70–80% нужных мер вы получите отсюда без всякого анализа.
Ну и ждем к концу октября мажорное обновление проекта MITRE ATT&CK. А значит маппить придется снова)
#mitre