MITRE ATT&CKcon 2.0: Using Threat Intelligence to Focus ATT&CK Activities

Summary

Dans ce script de conférence, David et Andy de Nationwide partagent leur expérience d'intégration du cadre MITRE ATT&CK dans leur organisation. Ils décrivent les défis rencontrés et comment l'intelligence sur les menaces a permis de se concentrer et de prioriser les techniques d'attaque. Leur présentation détaille le processus en cinq étapes qui a transformé leur culture de sécurité, passant d'une approche basée sur la conformité à une opération guidée par les menaces, améliorant ainsi la visibilité et la préparation face aux attaques ciblant leur secteur.

Takeaways

• 📈 L'importance de l'adoption du MITRE ATT&CK framework pour améliorer la sécurité des systèmes informatiques d'une entreprise.
• 🛠️ La mise en œuvre initiale d'ATT&CK a été difficile pour Nationwide, nécessitant un ajustement de l'approche et une meilleure compréhension.
• 💡 L'ajout de l'intelligence artificielle a été crucial pour clarifier la vision et la stratégie de Nationwide concernant l'utilisation d'ATT&CK.
• 🤝 L'implication d'une équipe interdisciplinaire, y compris des experts en cybersécurité et des analystes de renseignement, a été essentielle au succès du projet.
• 🗺️ L'utilisation d'un tableau de bord pour visualiser et hiérarchiser les acteurs de menace a permis à Nationwide de mieux cibler ses efforts de sécurité.
• 🔍 L'internat a joué un rôle clé en identifiant les 27 acteurs de menace ciblant l'industrie financière et d'assurance, en utilisant des données open source.
• 📊 La mise en place d'un système de notation pour évaluer l'intention et la capacité des acteurs de menace a aidé à prioriser les menaces pour Nationwide.
• 📝 La documentation et la communication régulières des résultats et des recommandations ont été fondamentales pour impliquer et maintenir l'intérêt du leadership.
• 🛡️ L'intégration de l'intelligence de renseignement dans le processus de test des techniques d'attaque a permis de mettre en place des mesures de mitigation et de détection efficaces.
• 🌐 La collaboration avec d'autres entreprises via le Columbus Collaboratory a élargi les sources d'information et renforcé la réponse collective aux défis de la cybersécurité.
• 🔄 L'évolution constante et l'itération sur l'approche ATT&CK sont nécessaires pour rester à jour avec les nouvelles techniques et menaces.

Q & A

Quel est le contexte de la présentation de Katie et pourquoi les participants sont-ils excités ?

La présentation de Katie est le point de départ d'une conférence où David et Andy vont partager l'expérience de Nationwide dans la mise en œuvre du cadre MITRE ATT&CK. Les participants sont excités car ils attendent une histoire inspirante sur la façon dont une entreprise a réussi à intégrer cette méthodologie complexe dans son environnement de sécurité.

Pourquoi l'équipe de Nationwide a-t-elle initialement échoué dans la mise en œuvre du cadre MITRE ATT&CK ?

L'équipe de Nationwide a échoué en raison de l'absence de focus et de méthodes de documentation cohérentes. Ils ont testé chaque technique individuellement sans vraiment comprendre comment intégrer les résultats dans leur environnement de sécurité, ce qui a conduit à un manque de participation et à une compréhension insuffisante de l'ampleur de l'entreprise.

Quel rôle a joué l'intelligence dans la réussite de Nationwide dans la mise en œuvre du cadre MITRE ATT&CK ?

L'intelligence a fourni une perspective qui a permis à Nationwide de se concentrer sur les menaces spécifiques à leur secteur, en identifiant les 27 acteurs de menace connus pour cibler l'industrie de la finance et de l'assurance. Cela a donné une orientation et une hiérarchisation des priorités, aidant ainsi à simplifier et à structurer le processus de mise en œuvre.

Quelle fut la première étape de Nationwide pour rationaliser et se concentrer sur les techniques ATT&CK pertinentes ?

La première étape a été de se concentrer sur les 91 techniques utilisées par les 27 acteurs de menace identifiés comme prioritaires pour leur secteur. Ils ont utilisé une approche basée sur l'intelligence pour déterminer les techniques les plus susceptibles d'être utilisées contre leur entreprise.

Comment Nationwide a-t-il utilisé les données de l'intern pour améliorer leur compréhension des menaces ?

Nationwide a utilisé les données recueillies par l'intern, qui avait identifié une liste de plusieurs centaines d'acteurs de menace, pour affiner leur focus sur les 27 qui ciblent spécifiquement leur secteur. Ils ont utilisé cette liste pour développer un système de notation basé sur l'intention et la capacité de chaque acteur de menace.

Quel outil a-t-on utilisé pour tester les techniques ATT&CK identifiées par Nationwide ?

Nationwide a utilisé une combinaison de leur propre équipe d'attaque et de pénétration, ainsi que des scripts d'Atomic Red Team pour tester les 91 techniques identifiées comme prioritaires. Cela leur a permis de déterminer quelles techniques fonctionnaient dans leur environnement et quelles nécessitaient des ajustements.

Comment Nationwide a-t-il intégré les recommandations de mitigation et de détection provenant du site MITRE ATT&CK ?

Après avoir testé les techniques, Nationwide a examiné les recommandations de mitigation et de détection sur le site MITRE ATT&CK. Ils ont travaillé avec leur équipe d'infrastructure pour déterminer quelles recommandations pouvaient être mises en œuvre dans leur environnement et ont ajusté ou modifié les autres pour qu'elles fonctionnent.

Quels étaient les changements culturaux que Nationwide a observés après avoir mis en œuvre les contrôles ATT&CK ?

Nationwide a observé un passage de la culture axée sur la conformité à une culture pilotée par l'intelligence. Ils se sont concentrés sur les menaces les plus importantes pour leur environnement et ont structuré leurs contrôles de sécurité en conséquence, améliorant ainsi la perception et l'engagement de leur équipe de sécurité.

Comment Nationwide a-t-il priorisé et classé les techniques ATT&CK pour les projets futurs ?

Ils ont établi une hiérarchie des techniques en se basant sur l'utilisation répandue, la facilité d'exécution et le danger potentiel pour leur environnement. Cela a permis à Nationwide de classer les techniques de 1 à 91, ce qui a aidé à déterminer les projets qui méritent le plus de ressources et de financement.

Quels sont les enseignements clés que Nationwide a tirés de son expérience avec MITRE ATT&CK ?

Les enseignements clés incluent l'importance d'avoir un focus, de documenter le processus d'évaluation, d'impliquer une large équipe et de maintenir le leadership informé et engagé tout au long du processus. Cela a aidé à améliorer la compréhension et l'efficacité de la mise en œuvre des contrôles ATT&CK.