SPECTER

Onderdeel vanEen dreiging of kwetsbaarheid onderzoeken

SPECTER is de dreigings- en kwetsbaarheidsinformatie van Soveryne. In de console zoek je dreigingsgroepen op, de aanvalstechnieken die ze gebruiken, malware en tools, en bekende kwetsbaarheden (CVE's), allemaal in één gedeelde catalogus die regelmatig wordt bijgewerkt.

Wat SPECTER omvat

SPECTER heeft vier modules:

Module	Wat het doet	Waar je het tegenkomt
Threat Intelligence	Een catalogus van tegenstanders (APT-groepen), MITRE ATT&CK-technieken en malwarefamilies en tools, opgebouwd uit beoordeelde openbare bronnen	De SPECTER-console: Adversaries, Techniques, Malware, Sources en Source health
Vulnerability Intelligence	Een catalogus van gepubliceerde kwetsbaarheden met hun scores, misbruikstatus en getroffen producten	De SPECTER-console: CVEs. ATLAS gebruikt deze catalogus ook om wat het ontdekt te vergelijken met bekende kwetsbaarheden.
Threat Modeling	Bepaalt welke tegenstanders voor je organisatie van belang zijn en hoe goed je beheersmaatregelen hun technieken afdekken	Nog niet in de console
Vulnerability Scanning	Controleert je software aan de hand van de kwetsbaarhedencatalogus	Nog niet in de console

De catalogus is voor elke organisatie hetzelfde. Het is naslaginformatie uit openbare bronnen, geen gegevens over je organisatie. In SPECTER zoek je dingen op; je voegt geen records toe en wijzigt ze niet.

Wie gebruikt het

Rol	Wat ze hier doen
Iedereen met toegang tot SPECTER	Elke pagina doorbladeren, elk record openen, CVE's zoeken en de grafen gebruiken
Admin	Hetzelfde, en ziet daarnaast twee extra diagnostische kolommen op Source health (Last Attempt At en Error Code)

Niemand kan in SPECTER catalogusrecords bewerken, toevoegen of verwijderen.

Voordat je begint

Je hebt een Soveryne-account met toegang tot SPECTER nodig. Je meldt je één keer aan, via de aanmeldpagina van Soveryne of via de single sign-on van je organisatie.

Open SPECTER vanuit het Soveryne-portaal.

Je weg vinden

De kopbalk toont links Soveryne en SPECTER en rechts je profielknop (je initialen). De navigatie aan de linkerkant heeft zes pagina's:

Pagina	Wat je er vindt	Meer
Adversaries	APT-groepen en andere dreigingsactoren, met hun doelwitten en technieken. SPECTER opent op deze pagina.	Dreigingsinformatie
Techniques	MITRE ATT&CK-technieken en -subtechnieken	Dreigingsinformatie
Malware	Malwarefamilies en dreigingstools, met de groepen die ze gebruiken	Dreigingsinformatie
CVEs	De kwetsbaarhedencatalogus, met zoekfunctie en filters. De pagina opent leeg totdat je zoekt of Browse newest CVEs kiest.	CVE's
Sources	De bronnen waaruit de catalogus is opgebouwd, met hun licentievoorwaarden	Bronnen
Source health	Wanneer elke bron voor het laatst is bijgewerkt	Bronnen

Wil je terug naar het Soveryne-portaal, selecteer dan het Soveryne-logo linksboven, of gebruik je profielmenu. Je profielmenu toont je naam, je e-mailadres, je rol en werkruimte, en twee acties:

Return to portal brengt je terug naar het Soveryne-portaal.

Log out meldt je af.

Lijsten en records

Elke pagina toont de records als tabel. Onder de tabel geeft een statusregel aan hoeveel records er worden getoond en op welke pagina je bent, bijvoorbeeld "50 records shown · Page 1". Gebruik Previous en Next om te bladeren tussen pagina's van 50 records (CVE-zoekresultaten komen per 30). Refresh laadt de huidige pagina opnieuw.

Klik op de naam van een record (de eerste cel van de rij) om het te openen. Het record opent in een paneel met een kop, een rij kerncijfers en secties met details. Velden die niet in een benoemde sectie thuishoren, staan samen in een ingeklapte sectie Record metadata aan het eind.

Records verwijzen naar elkaar. Het record van een tegenstander toont bijvoorbeeld de technieken; klik op een techniek om die te openen. Een terugknop (Back to gevolgd door de naam van het record waar je vandaan kwam) brengt je daarna terug naar waar je was. Sluit een record met de sluitknop rechtsboven.

Links naar externe websites, zoals de MITRE ATT&CK-site, openen in een nieuw tabblad.

Zoeken

Op Adversaries, Techniques, Sources en Source health filtert het zoekvak (Search this page…) tijdens het typen de records die al op de huidige pagina staan. Het doorzoekt niet de hele catalogus. Gebruik Next om verder te kijken.

Op Malware doorzoekt het zoekvak (Search names, aliases or IDs…) de hele catalogus van malware en tools op naam, alias of ID.

Op CVEs doorzoekt het zoekvak (CVE ID or vendor/product) de hele kwetsbaarhedencatalogus wanneer je Search catalogue kiest of op Enter drukt. Zie CVE's.

Graafweergaven

Adversaries, Techniques en Malware openen als graaf: elk record is een knooppunt, en de lijnen tussen de knooppunten laten zien hoe records met elkaar samenhangen. Gebruik de weergaveknop in de werkbalk om te wisselen tussen de graaf (Graph view) en de tabel (List view).

De Adversaries-graaf met één APT-groep en de technieken die ze gebruikt

Indelingen

Kies een indeling onder Layout:

Constellation (de standaard) plaatst elke groep knooppunten in een eigen gebied, dat je vrij kunt verplaatsen.

Orbit plaatst de groepen in een ring; als je een groep versleept, beweegt die langs de ring.

De Techniques-graaf in de indeling Orbit

Welke indeling je ook gebruikt:

Zoom met het muiswiel of met de knoppen Zoom in (+) en Zoom out (−). Fit graph past de hele graaf op het scherm.

Sleep de achtergrond om je te verplaatsen. Sleep een knooppunt om het binnen de groep te verplaatsen, of sleep de rand of naam van een groep om de hele groep te verplaatsen. Dubbelklik op de naam van een groep om die terug te zetten op de automatische positie.

Reset layout zet elk knooppunt en elke groep terug op de plek waar SPECTER ze had geplaatst. Posities die je hebt versleept, blijven behouden totdat je de pagina opnieuw laadt.

Klik op een knooppunt om het record te openen. Klik op een lijn om te zien voor welke relatie die staat.

Je kunt ook het toetsenbord gebruiken: druk op Tab om tussen knooppunten en lijnen te bewegen, op Enter of de spatiebalk om de details te openen, en op de pijltoetsen om een knooppunt te verplaatsen (houd Shift ingedrukt voor grotere stappen).

Filters

Open Filters boven de graaf om te kiezen wat die toont. De samenvatting naast Filters toont je selectie en hoeveel knooppunten er verborgen zijn.

Selectie. Kies op Adversaries de optie Select APTs en vink de groepen aan die je wilt zien; kies op Malware de optie Select malware en zoek een familie op naam. Verwijder een geselecteerd item met de × op de chip. Zie Dreigingsinformatie voor details.

Group by clustert de knooppunten op Kind / ATT&CK tactic of op Connected groups.

Relationship labels zet de relatie op elke lijn. Dit staat standaard uit.

Connection icons toont een pictogram op elke lijn. Dit staat standaard aan.

Met Graph categories verberg je soorten knooppunten. Vink onder Resource types (bijvoorbeeld APT groups, Malware, Tools, Techniques en Subtechniques) en ATT&CK tactics een categorie uit om die te verbergen; bij elke categorie staat hoeveel knooppunten die heeft. Verborgen categorieën verbergen ook de lijnen die ermee verbonden zijn. Show all haalt alle categorieën in een sectie terug, en Restore all graph categories haalt ze allemaal terug.

Typ je in de graafweergave in het zoekvak, dan houdt de graaf de passende knooppunten over plus de knooppunten die daar direct mee verbonden zijn.

De legenda onder de graaf toont hoeveel knooppunten, verbindingen en groepen er worden getekend, en legt de vormen uit die op de huidige pagina worden gebruikt.

Opmerking

Een graaf tekent maximaal 120 knooppunten. Zijn er meer, dan geeft de statusregel aan hoeveel knooppunten en verbindingen er verborgen zijn. Verklein je selectie of verberg categorieën om de rest te zien.

Rapporten en exports

SPECTER heeft geen downloads of exports.

Hoe SPECTER je beschermt

Alleen-lezen. Niemand kan de inhoud van de catalogus vanuit de console wijzigen.

Beoordeelde bronnen. Elke bron is beoordeeld voordat die kan worden gebruikt, en bij elke bron staan de licentieklasse en de voorwaarden voor herdistributie op de pagina Sources. Bronnen met beperkende voorwaarden blijven uitgeschakeld, tenzij ze uitdrukkelijk zijn ingeschakeld. Zie Bronnen.

Zorgvuldige toeschrijving. Koppelingen tussen een groep en een malwarefamilie hebben een betrouwbaarheidsniveau, en zwakkere koppelingen zijn gelabeld als Possible usage. SPECTER herinnert je eraan dat "The relationship does not attribute every sample or indicator to a group." Mogelijke duplicaten worden als kandidaten getoond: "These are candidates; the catalogue has not merged their identities."

Zorgvuldige toepasselijkheid. Een CVE-record herinnert je eraan dat "A listed CPE alone does not establish applicability."

Geen ruwe feeds. De console toont alleen gepubliceerde catalogusrecords. Ruwe brongegevens of indicators of compromise worden niet getoond.

Problemen oplossen

Melding	Wat het betekent	Wat je doet
"Return to the application portal to sign in."	Je sessie is beëindigd.	Ga terug naar het Soveryne-portaal, meld je aan en open SPECTER opnieuw.
"Records could not be loaded"	De pagina kon de records niet ophalen.	Kies Refresh, of open de pagina opnieuw via de navigatie. Blijft het gebeuren, neem dan contact op met je Soveryne-partner of support.
"Request failed (…)."	Een verzoek aan SPECTER is mislukt.	Probeer het zo meteen opnieuw.
"Details for … are unavailable in the current catalogue."	Je volgde een link naar een record dat niet meer in de catalogus staat.	Ga terug met de terugknop en kies een ander record.
"No visible nodes"	Je filters verbergen elk knooppunt in de graaf.	Kies Restore graph categories, of wijzig je zoekopdracht of selectie.

Voor meldingen bij het zoeken naar CVE's, zie CVE's.

MITRE ATT&CK

De informatie over technieken en tegenstanders in SPECTER bevat inhoud van MITRE ATT&CK®. ATT&CK® is een geregistreerd handelsmerk van The MITRE Corporation. SPECTER behoudt ATT&CK-ID's, zoals T1059 en G0016, en koppelt elke techniek aan de pagina ervan op de MITRE ATT&CK-website.

CVE's

Dreigingsinformatie: tegenstanders, technieken en malware

Bronnen en bronstatus

Rollen en rechten

← VorigeBeoordelingswachtrij en importgeschiedenis Volgende →Dreigingsinformatie: tegenstanders, technieken en malware