Projetando o Engajamento de Adversários com o MITRE Engage

Quando Usar

• Quando uma organização possui ferramentas de engano (honeypots, honeytokens, canary tokens, arquivos de isca) mas as implanta taticamente sem uma estratégia unificadora ou resultado mensurável.
• Quando a liderança pergunta se a organização deve engajar adversários, e quais são as implicações legais, operacionais e de recursos.
• Ao escrever um plano formal de operação de engajamento de adversários que deve justificar cada artefato de engano implantado contra um objetivo estratégico.
• Ao selecionar quais Atividades de engano específicas implantar contra um ator de ameaça conhecido ou suspeito com base nos TTPs de ATT&CK desse ator.
• Ao construir um programa de negação, engano e engajamento de adversários (DD&AE) que deve se integrar às funções existentes de SOC, inteligência de ameaças e resposta a incidentes.
• Quando uma implantação de engano gera alertas que ninguém sabe como agir, porque Expor nunca foi conectado aos objetivos Afetar ou Elucidar.

Esta habilidade é a camada de estratégia e operações que fica acima das habilidades de implantação tática (implantação de honeypot, honeytoken, canary-token e arquivo de isca). Use essas habilidades para implementar as Atividades que esta habilidade seleciona e sequencia.

Pré-requisitos

• Familiaridade com MITRE ATT&CK (táticas, técnicas e como ler uma página de técnica), pois as Atividades de Engajamento são mapeadas para as técnicas de ATT&CK que elas expõem.
• Um conjunto documentado de ativos críticos e uma compreensão de quais adversários plausivelmente os visam (um modelo de ameaça ou lista priorizada de atores de ameaça).
• Patrocínio executivo e uma revisão legal escrita. Operações de engajamento interagem com adversários ativos e levantam questões de armadilha, manuseio de evidências e responsabilidade; nunca execute uma operação de engajamento sem aprovação legal.
• Uma capacidade existente de detecção e resposta. O Engage é uma estratégia aditiva, não um substituto para a defesa em profundidade; se um controle de defesa em profundidade falhar, o engajamento o mantém no controle em vez de cego.
• Acesso à matriz ativa em https://engage.mitre.org/matrix/ para nomes e IDs canônicos de Atividades.

Fluxo de Trabalho

As operações de Engage seguem o Processo Operacional de 10 Passos. A matriz é linear para ler, mas cíclica para executar — você realinha continuamente as Atividades em direção aos seus Objetivos à medida que o adversário reage.

1. Confirmar adequação estratégica (Preparar)

Decida onde a negação, o engano e o engajamento de adversários se encaixam na estratégia cibernética existente. O objetivo Prepare (um ponto de partida estratégico, ao lado de Understand) define as entradas para a operação. Documente o objetivo estratégico em linguagem clara, por exemplo, "reduzir o tempo de permanência de ameaças internas em torno do repositório de código-fonte" ou "gerar CTI de primeira parte sobre o ator que visa nossa VPN".

2. Definir Objetivos de Engajamento e Objetivos Operacionais

Selecione entre os três Objetivos de Engajamento. Os Objetivos definem a direção; Objetivos Operacionais dão passos mensuráveis nessa direção.

Escreva objetivos como declarações falsificáveis e com prazo determinado. Um objetivo sem um objetivo operacional é imensurável.

3. Construir o modelo de ameaça e selecionar Abordagens

Para cada Objetivo, escolha as Abordagens de Engajamento (EAP) que se encaixam no adversário que você modelou:

• Expor → Coleta, Detecção
• Afetar → Prevenção, Direção, Interrupção
• Elucidar → Tranquilização, Motivação

4. Mapear técnicas ATT&CK para Atividades de Engajamento

Para cada técnica que seu adversário alvo usa, encontre a Atividade de Engajamento que expõe a fraqueza que essa técnica cria. Exemplos de mapeamentos:

…