Logo van SoveryneSoveryne
Dreigingsinformatie: tegenstanders, technieken en malware

Dreigingsinformatie: tegenstanders, technieken en malware

Onderdeel vanEen dreiging of kwetsbaarheid onderzoeken

Deze pagina laat zien hoe je dreigingsgroepen opzoekt, de MITRE ATT&CK-technieken die ze gebruiken en de malware en tools die aan hen zijn gekoppeld. Ook lees je hoe je de grafen interpreteert op de pagina's Adversaries, Techniques en Malware.

Wie kan dit doen

Iedereen met toegang tot SPECTER kan deze pagina's doorbladeren en elk record openen. Niets op deze pagina's wijzigt de catalogus.

Hoe de pagina's samenhangen

Een tegenstander is een dreigingsgroep, zoals een APT-groep. Het record vertelt wie de groep is, op wie die zich richt en welke technieken die gebruikt.
Een techniek is een manier van aanvallen, zoals beschreven in MITRE ATT&CK, bijvoorbeeld "T1566 · Phishing". Sommige technieken hebben subtechnieken, bijvoorbeeld "T1566.001 · Spearphishing Attachment".
Malware omvat malwarefamilies en dreigingstools. Hun records verwijzen naar de groepen die ze gebruiken en naar de technieken die ze uitvoeren.

Records verwijzen naar elkaar, dus je kunt overal beginnen en de verbanden volgen. Hoe lijsten, records, de graaf en de filters in het algemeen werken, lees je in Je weg vinden en Graafweergaven.

Bekijk: een tegenstander en de technieken verkennen (minder dan 1 min)

Tegenstanders

SPECTER opent op de pagina Adversaries. Die toont als graaf één APT-groep en de technieken die ze gebruikt. SPECTER selecteert voor je de eerste groep op de pagina.

In de graaf:

is een zeshoek een tegenstander;
is een cirkel een techniek;
is een vierkant een subtechniek;
verbindt een lijn met het label Uses een groep met een techniek die die groep gebruikt.

In List view toont de tabel voor elke groep Name, Kind, Country, Motive, Technique Count en Confidence Tier.

Andere groepen in de graaf tonen

1
Open op Adversaries het menu Filters boven de graaf.
2
Kies onder APT selection de optie Select APTs. Er opent een lijst van de groepen op de huidige pagina, elk met het aantal technieken.
3
Vink de groepen aan die je wilt vergelijken. De knop toont nu hoeveel groepen er zijn geselecteerd, bijvoorbeeld "3 APTs selected".
4
Wil je een groep uit de graaf halen, kies dan de × op de chip.

De graaf toont de geselecteerde groepen en al hun technieken. Technieken die meerdere groepen delen, zijn met elk van die groepen verbonden, zodat je ziet waar de groepen overlappen. Wil je groepen van een andere pagina zien, gebruik dan eerst Next.

Een tegenstander openen

1
Schakel op Adversaries over naar List view (of klik op een groep in de graaf).
2
Typ eventueel een deel van de naam in Search this page… om de groep op de huidige pagina te vinden.
3
Kies de naam van de groep.
Het record van de groep Chimera met het profiel, de doelwitten en de technieken

Het record van een APT group toont het land en het motief van de groep onder de naam, en vier kerncijfers: Techniques, Confidence, Skill en Status. Daarna:

SectieWat het toont
ProfileEen beschrijving van de groep, de andere namen waaronder die bekend is (Also known as), en het Group type
TargetingDe Sectors en Countries waarop de groep zich voor zover bekend richt
TechniquesEén knop per techniek die de groep gebruikt, bijvoorbeeld "T1566.001 · Spearphishing Attachment". Selecteer een techniek om de tactieken, platforms en beschrijving te bekijken.
Intelligence sourceWaar het profiel vandaan komt (Source, bijvoorbeeld "MITRE ATT&CK G0016 · MISP Galaxy …"), de ATT&CK ID van de groep en een link naar de pagina ervan op de MITRE ATT&CK-website

Heeft een groep geen technieken in de catalogus, dan staat er in het record "No techniques published for this group."

Technieken

Techniques toont de MITRE ATT&CK-technieken en -subtechnieken. In de graaf wordt elke techniek getekend als "T1059 · Command and Scripting Interpreter", en verbindt een lijn Subtechnique een techniek met elk van de subtechnieken. In List view toont de tabel Technique Id, Name, Actor Count (het aantal groepen dat de techniek gebruikt) en Status.

Een techniek openen

1
Kies het ID van een techniek in List view, klik op het knooppunt in de graaf, of kies een techniekknop in het record van een tegenstander of malware.
2
De techniek opent. Kwam je vanuit een ander record, dan brengt een terugknop (Back to gevolgd door de naam van dat record) je daarheen terug.
De techniek PowerShell geopend vanuit het record van Chimera, met de tactiekkaarten

Het record geeft aan of het een ATT&CK technique of een ATT&CK subtechnique is. Onder de titel staat MITRE ATT&CK, of bij een subtechniek van welke techniek die deel uitmaakt. De kerncijfers zijn APT groups (hoeveel groepen de techniek gebruiken) en Status. Daarna:

Technique: de beschrijving.
Coverage: de ATT&CK-Tactics waartoe de techniek behoort, als kaarten, en de Platforms waarop die van toepassing is. Elke tactiekkaart noemt de matrix (Enterprise ATT&CK, Mobile ATT&CK of ICS ATT&CK) en opent de tactiek op de MITRE ATT&CK-website in een nieuw tabblad. Bij een subtechniek opent Open parent, gevolgd door het ID van de bovenliggende techniek, die bovenliggende techniek.
Reference: een link naar de techniek op de MITRE ATT&CK-website.

Malware

Malware omvat zowel malwarefamilies als dreigingstools. In List view toont de tabel Name, Kind, Actor Count, Technique Count en Status. De statusregel toont hoeveel families en tools de catalogus bevat en hoeveel er worden getoond, bijvoorbeeld "_N_ families & tools · 50 shown · Page 1".

Anders dan op de andere dreigingspagina's doorzoekt het zoekvak hier (Search names, aliases or IDs…) de hele malwarecatalogus, niet alleen de huidige pagina. Je kunt zoeken op naam, op alias, of op ATT&CK- of Malpedia-ID.

Malware verkennen in de graaf

De graaf toont de geselecteerde families en tools, de APT-groepen die ze gebruiken en hun ATT&CK-technieken. SPECTER selecteert om te beginnen een bekende familie voor je.

1
Open op Malware het menu Filters boven de graaf.
2
Kies onder Malware selection de optie Select malware.
3
Typ in Find a malware family… een naam of alias. Er worden maximaal 40 treffers getoond, elk met het ATT&CK- of Malpedia-ID.
4
Vink de families aan die je wilt zien. Verwijder er een met de × op de chip.

Typ je in plaats daarvan in het zoekvak van de pagina, dan toont de graaf maximaal drie passende families.

De lijnen tussen een familie en een groep geven aan hoe zeker de catalogus van de koppeling is:

"Uses · Tier A" of "Uses · Tier B": het is bekend dat de groep de familie gebruikt.
"Possible usage · Tier C": de koppeling is mogelijk, maar minder zeker.

Klik op een lijn om de details te zien: Name, Relation, Confidence en Source.

Een malwarefamilie of tool openen

1
Schakel op Malware over naar List view en typ de naam in Search names, aliases or IDs…, of klik op het knooppunt in de graaf.
2
Kies de naam.
Het record van de tool Mimikatz met de bijbehorende APT-groepen en technieken

Het record geeft aan of het een Malware family of een Threat tool is, met het ATT&CK-ID en het Malpedia-ID onder de naam. De kerncijfers zijn APT groups, Techniques en Status. Daarna:

SectieWat het toont
Family profileEen beschrijving, en de andere namen waaronder het bekend is (Also known as)
Associated APT groupsEén knop per groep die het gebruikt, met het betrouwbaarheidsniveau en de bron van de koppeling. Deze groepen gebruiken deze familie. De relatie schrijft niet elk sample of elke indicator aan een groep toe.
ATT&CK techniquesEén knop per techniek die het uitvoert
Sources & referencesDe bronnen waaruit het record is opgebouwd, en links naar de pagina's MITRE ATT&CK en Malpedia family als die bestaan
Possible identity matchesIngeklapt. Andere records die mogelijk dezelfde familie beschrijven. Dit zijn kandidaten; de catalogus heeft hun identiteiten niet samengevoegd.

Problemen oplossen

MeldingWat het betekentWat je doet
"This APT group is unavailable in the published catalogue."Je volgde een link naar een groep die niet meer in de catalogus staat.Ga terug en kies een andere groep.
"Details for … are unavailable in the current catalogue."Je volgde een link naar een techniek of record dat niet meer in de catalogus staat.Ga terug met de terugknop.
"No matching families."Geen malwarefamilie of tool komt overeen met wat je in Find a malware family… hebt getypt.Controleer de spelling, of probeer een alias of ID.
"No visible nodes"Je filters verbergen elk knooppunt in de graaf.Kies Restore graph categories, of wijzig je zoekopdracht of selectie.
"No matching resources"Niets op de huidige pagina komt overeen met je zoekopdracht.Maak het zoekvak leeg, of gebruik Next om op de volgende pagina te kijken.

Gerelateerde pagina's

← VorigeSPECTERVolgende →CVE's