Sergio Caltagirone, Andrew Pendergast, Christopher Betz

1 fișă

1. 01

   Un eveniment de intruziune are patru colțuri — adversar, capabilitate, infrastructură, victimă — legate prin muchii pe care analistul pivotează: de la un domeniu la toate victimele lui, de la o unealtă la adversarul care o folosește; ATT&CK dă apoi fiecărui comportament un nume comun, ca două echipe să vorbească despre aceeași tehnică.

   The Diamond Model of Intrusion Analysis · 2013

   Patru colțuri, pivotează pe muchii, numește tehnica cu ATT&CK — și spune pe ce muchie stă atribuirea.

   Modelul Diamond formalizează ce fac analiștii de intruziuni intuitiv: «un adversar desfășoară o capabilitate printr-o infrastructură împotriva unei victime». Cele patru trăsături de bază sunt vârfurile; meta-trăsăturile (timp, fază, rezultat, direcție, metodologie, resurse) ordonează evenimentele în fire de activitate. Autorii spun explicit că, la descoperire, majoritatea trăsăturilor sunt necunoscute și se completează pe măsură ce apar fapte. Valoarea e în pivotare: cunoști un domeniu C2 (infrastructură) → cauți ce alte victime au comunicat cu el → găsești capabilitatea comună → grupezi evenimentele într-un adversar. Fiecare muchie e o ipoteză de testat, nu un fapt; modelul obligă să spui pe ce muchie te-ai bazat. ATT&CK, publicat de MITRE din 2015 și descris în lucrarea de metodologie din 2020, e complementar: «o bază de cunoștințe curatoriată și un model al comportamentului adversarului cibernetic», organizată în tactici (scopul pe termen scurt: acces inițial, persistență, mișcare laterală, exfiltrare), tehnici (cum se atinge scopul) și proceduri (implementarea concretă a unui grup). E explicit «nu o enumerare exhaustivă a vectorilor de atac» — e un vocabular. Când un raport spune «T1053 — sarcină programată», două organizații știu că vorbesc despre același lucru și pot compara acoperirea detecțiilor. Cum se leagă cele trei cadre: lanțul (lecția 30) spune în ce fază ești, Diamond spune cine-cu-ce-prin-ce-împotriva-cui, ATT&CK numește tehnica. Capcana comună: atribuirea. Un colț «adversar» completat pe baza unei singure infrastructuri refolosite e o ipoteză cu încredere scăzută, oricât de convingător sună numele grupului.

   “Pentru fiecare eveniment de intruziune există un adversar care face un pas către un scop urmărit, folosind o capabilitate prin intermediul unei infrastructuri împotriva unei victime, pentru a produce un rezultat.”

   Deschide fișa →