Entenda a cobertura de segurança da estrutura MITRE ATT&CK

MITRE ATT&CK é uma base de dados de conhecimento publicamente acessível de táticas e técnicas comumente usadas por invasores, criada e mantida por meio de observações do mundo real. Muitas organizações usam a base de dados de conhecimento MITRE ATT&CK para desenvolver modelos e metodologias específicos de ameaças que são usados para verificar o status da segurança em seus ambientes.

O Microsoft Sentinel analisa dados ingeridos, não apenas para detectar ameaças e ajudar você investigar, mas também para visualizar a natureza e a cobertura do status de segurança da sua organização.

Este artigo descreve como usar a página MITRE no Microsoft Sentinel para exibir as detecções já ativas em seu espaço de trabalho e aquelas disponíveis para você configurar, para entender a cobertura de segurança da sua organização, com base nas táticas e técnicas da estrutura MITRE ATT&CK®.

Versão da estrutura MITRE ATT&CK

O Microsoft Sentinel está atualmente alinhado ao framework MITRE ATT&CK, versão 13.

Exibir a cobertura atual do MITRE

No Microsoft Sentinel, em Gerenciamento de ameaças, selecione MITRE ATTA&CK (versão prévia). Por padrão, tanto a consulta agendada ativa quanto as regras NRT (quase em tempo real) são indicadas na matriz de cobertura.

• Use a legenda no canto superior direito para entender quantas detecções estão ativas atualmente em seu workspace para uma técnica específica.

• Use a barra de pesquisa no canto superior esquerdo para pesquisar uma técnica específica na matriz, usando o nome ou a ID da técnica, para exibir o status de segurança da sua organização para a técnica selecionada.

• Selecione uma técnica específica na matriz para exibir mais detalhes à direita. Lá, use os links para acessar qualquer um dos seguintes locais:

  • Na área Descrição, selecione Exibir detalhes da técnica... para obter mais informações sobre a técnica selecionada na base de dados de conhecimento da estrutura MITRE ATT&CK.

  • Role para baixo no painel e selecione links para qualquer um dos itens ativos para acessar a área relevante no Microsoft Sentinel.

  Por exemplo, selecione Consultas de busca para ir para a página Busca. Lá, você verá uma lista filtrada das consultas de busca associadas à técnica selecionada e disponíveis para configuração em seu workspace.

Simular a cobertura possível com as detecções disponíveis

Na matriz de cobertura do MITRE, a cobertura simulada refere-se a detecções disponíveis, mas não configuradas no momento, em seu workspace do Microsoft Sentinel. Veja a cobertura simulada para entender o possível status de segurança da sua organização, caso você configure todas as detecções disponíveis para você.

No Microsoft Sentinel, em Gerenciamento de ameaças, selecione MITRE ATTA&CK (versão prévia)e selecione itens no menu Simulado para simular o possível status de segurança da sua organização.

A partir daí, use os elementos da página como faria de outra forma para exibir a cobertura simulada para uma técnica específica.

Usar a estrutura MITRE ATT&CK em regras de análise e incidentes

Ter uma regra agendada com técnicas MITRE aplicadas em execução regularmente em seu workspace do Microsoft Sentinel aprimora o status de segurança mostrado para sua organização na matriz de cobertura MITRE.

• Regras de análise:

  • Ao configurar regras de análise, selecione técnicas específicas do MITRE a serem aplicadas à regra.
  • Ao pesquisar regras de análise, filtre as regras exibidas por técnica para encontrar suas regras mais rapidamente.

  Para obter mais informações, confira Detectar ameaças rapidamente e Criar regras de análise personalizadas para detectar ameaças.

• Incidentes:

  Quando incidentes são criados para alertas que são gerados por regras com técnicas MITRE configuradas, as técnicas também são adicionadas aos incidentes.

  Para obter mais informações, confira Investigar incidentes com o Microsoft Sentinel.

• Busca de ameaças:

  • Ao criar uma consulta de busca, selecione as táticas e técnicas específicas a serem aplicadas à sua consulta.
  • Ao pesquisar consultas de busca ativas, filtre as consultas exibidas por táticas selecionando um item na lista acima da grade. Selecione uma consulta para ver detalhes de tática e técnica à direita.
  • Ao criar indicadores, use o mapeamento de técnica herdado da consulta de busca ou crie seu mapeamento.

  Para obter mais informações, confira Buscar ameaças com o Microsoft Sentinel e Manter o controle dos dados durante a busca com o Microsoft Sentinel.

Conteúdo relacionado

Para saber mais, veja:

• Estrutura MITRE | ATT&CK
• MITRE | ATT&CK para sistemas de controle industrial