Analisando Grupos APT com MITRE ATT&CK Navigator

Visão Geral

O MITRE ATT&CK Navigator é uma ferramenta baseada na web para anotar e explorar as matrizes ATT&CK, permitindo que analistas visualizem a cobertura de técnicas de atores de ameaças, comparem múltiplos grupos APT, identifiquem lacunas de detecção e construam estratégias de defesa informadas por ameaças. Esta habilidade abrange a consulta de dados ATT&CK programaticamente, o mapeamento de TTPs de grupos APT para camadas do Navigator, a criação de sobreposições de múltiplas camadas para análise de lacunas e a geração de relatórios de inteligência acionáveis para equipes de engenharia de detecção.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de grupos APT com o MITRE Navigator.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com attackcti, mitreattack-python, stix2, requests bibliotecas.
• ATT&CK Navigator (https://mitre-attack.github.io/attack-navigator/) ou implantação local.
• Compreensão da matriz ATT&CK Enterprise: 14 Táticas, mais de 200 Técnicas, Sub-técnicas.
• Acesso a relatórios de inteligência de ameaças ou MISP/OpenCTI para dados de atores de ameaças.
• Familiaridade com os objetos STIX 2.1 Intrusion Set e Attack Pattern.

Conceitos Chave

Camadas do ATT&CK Navigator

As camadas do Navigator são arquivos JSON que anotam as técnicas ATT&CK com pontuações, cores, comentários e metadados. Cada camada pode representar o uso de técnicas de um único grupo APT, um mapa de capacidade de detecção ou uma sobreposição combinada. A versão 4.5 da camada suporta os domínios enterprise-attack, mobile-attack e ics-attack com filtragem por plataforma (Windows, Linux, macOS, Cloud, Azure AD, Office 365, SaaS).

Perfis de Grupos APT no ATT&CK

O ATT&CK cataloga mais de 140 grupos de ameaças com uso documentado de técnicas. Cada perfil de grupo inclui aliases, setores visados, campanhas associadas, softwares utilizados e mapeamentos de técnicas com detalhes em nível de procedimento. Os grupos são identificados por códigos G (por exemplo, G0016 para APT29, G0007 para APT28, G0032 para Lazarus Group).

Análise de Múltiplas Camadas

O Navigator suporta o carregamento de múltiplas camadas simultaneamente, permitindo que analistas sobreponham TTPs de atores de ameaças contra a cobertura de detecção para identificar lacunas, comparar múltiplos grupos APT para encontrar técnicas comuns que valham a pena priorizar e rastrear mudanças na cobertura de técnicas ao longo do tempo.

Fluxo de Trabalho

Etapa 1: Consultar Dados ATT&CK para Grupo APT

from attackcti import attack_client
import json

lift = attack_client()

# Get all threat groups
groups = lift.get_groups()
print(f"Total ATT&CK groups: {len(groups)}")

# Find APT29 (Cozy Bear / Midnight Blizzard)
apt29 = next((g for g in groups if g.get('name') == 'APT29'), None)
if apt29:
    print(f"Group: {apt29['name']}")
    print(f"Aliases: {apt29.get('aliases', [])}")
    print(f"Description: {apt29.get('description', '')[:300]}")

# Get techniques used by APT29 (G0016)
techniques = lift.get_techniques_used_by_group("G0016")
print(f"APT29 uses {len(techniques)} techniques")

technique_map = {}
for tech in techniques:
    tech_id = ""
    for ref in tech.get("external_references", []):
        if ref.get("source_name") == "mitre-attack":
            tech_id = ref.get("external_id", "")
            break
    if tech_id:
        tactics = [p.get("phase_name", "") for p in tech.get("kill_chain_phases", [])]
        technique_map[tech_id] = {
            "name": tech.get("name", ""),
            "tactics": tactics,
            "description": tech.get("description", "")[:500],
            "platforms": tech.get("x_mitre_platforms", []),
            "data_sources": tech.get("x_mitre_data_sources", []),
        }

Etapa 2: Gerar JSON da Camada do Navigator

def create_navigator_layer(group_name, technique_map, color="#ff6666"):
    techniques_list = []
    for tech_id, info in technique_map.items():
        for tactic in info["tactics"]:
            techniques_list.append({
                "techniqueID": tech_id,
                "tactic": tactic,
                "color": color,
                "comment": info["name"],
                "enabled": True,
                "score": 100,
                "metadata": [
                    {"name": "group", "value": group_name},
                    {"name": "platforms", "value": ", ".join(info["platforms"])},
                ],
            })

    layer = {
        "name": f"{group_name} TTP Coverage",

…