در مرکز عملیات امنیت یا SOC، روزانه تعداد زیادی هشدار از منابع مختلف مانند SIEM، EDR، فایروال‌ها، سامانه‌های احراز هویت و تجهیزات شبکه دریافت می‌شود. یکی از چالش‌های اصلی تحلیلگران امنیت، تشخیص این موضوع است که کدام هشدار واقعاً نشان‌دهنده فعالیت مخرب است و چه ارتباطی با مراحل مختلف یک حمله سایبری دارد. بررسی جداگانه هشدارها همیشه تصویر کاملی از یک حمله ارائه نمی‌دهد. ممکن است اجرای یک دستور PowerShell، تلاش برای ورود به یک سرور یا ایجاد ارتباط شبکه‌ای غیرمعمول به‌تنهایی نشانه قطعی تهدید نباشد؛ اما ارتباط میان این فعالیت‌ها می‌تواند الگوی یک حمله چندمرحله‌ای را آشکار کند.
در چنین شرایطی، تحلیل هشدارهای امنیتی با MITRE ATT&CK به تیم‌های SOC کمک می‌کند تا رفتارهای مشکوک را بر اساس روش‌های شناخته‌شده مهاجمان دسته‌بندی کنند، ارتباط میان رویدادها را بهتر بشناسند و سناریوهای شناسایی تهدید را بهبود دهند. اما چارچوب MITRE ATT&CK چگونه در تحلیل هشدارهای امنیتی استفاده می‌شود و برای پیاده‌سازی آن در SOC چه مراحلی باید طی شود؟
چارچوب MITRE ATT&CK چیست و چه کاربردی در SOC دارد؟
چارچوب MITRE ATT&CK یک پایگاه دانش از تاکتیک‌ها و تکنیک‌های مهاجمان است که بر اساس رفتارهای مشاهده‌شده در حملات واقعی توسعه یافته است. این چارچوب به تحلیلگران امنیت کمک می‌کند تا فعالیت‌های مشکوک را با الگوهای شناخته‌شده رفتار مهاجمان مقایسه کنند و درک دقیق‌تری از اهداف و روش‌های احتمالی آن‌ها داشته باشند.
ساختار ATT&CK شامل سه مفهوم مهم است:
- تاکتیک: هدفی که مهاجم در یک فعالیت دنبال می‌کند؛ مانند اجرای کد، سرقت اعتبارنامه یا حرکت جانبی در شبکه.
- تکنیک: روشی که مهاجم برای رسیدن به هدف خود استفاده می‌کند؛ مانند بهره‌گیری از حساب‌های کاربری معتبر.
- Sub-technique یا زیرتکنیک: دسته‌بندی دقیق‌تر یک تکنیک که جزئیات بیشتری از روش اجرا ارائه می‌دهد.
SOC یا مرکز عملیات امنیت چیست و چه نقشی در امنیت سایبری دارد؟
برای مثال، استفاده ازPowerShell برای اجرای دستورات می‌تواند با زیرتکنیک T1059.001 در تاکتیک Execution مرتبط باشد. نکته مهم این است که ATT&CK یک محصول امنیتی یا سامانه تشخیص حمله نیست؛ بلکه چارچوبی برای توصیف رفتار مهاجمان و طراحی و ارزیابی قابلیت‌های شناسایی تهدید محسوب می‌شود.
چرا دسته‌بندی هشدارهای امنیتی بر اساس MITRE ATT&CK اهمیت دارد؟
در بسیاری از مراکز عملیات امنیت، هشدارها با نام‌هایی مانند Suspicious PowerShell Execution یا Unusual Login Activity نمایش داده می‌شوند. اگرچه این عنوان‌ها اطلاعات اولیه‌ای درباره رویداد ارائه می‌دهند، اما همیشه مشخص نمی‌کنند فعالیت مشاهده‌شده با کدام روش مهاجم ارتباط دارد. نگاشت هشدارها به MITRE ATT&CK که با اصطلاح ATT&CK Mapping شناخته می‌شود، به تحلیلگران کمک می‌کند از یک روش مشترک برای طبقه‌بندی رفتارهای مشکوک استفاده کنند. این کار سه مزیت مهم دارد.
بیشتر بخوانید: تحلیل آسیب‌پذیری‌های مهم ۲۰۲۶ از نگاه SOC و نقش آن در تشخیص، شکار تهدید و پاسخ به رخداد – قسمت اول
ایجاد زبان مشترک میان تحلیلگران SOC
زمانی که یک هشدار به تکنیک مشخصی از MITRE ATT&CK مرتبط می‌شود، تحلیلگران می‌توانند با اصطلاحات یکسان درباره آن گفت‌وگو کنند. برای مثال، استفاده از شناسه T1059.001 مشخص می‌کند که موضوع بررسی، رفتار مرتبط با اجرای PowerShell است، نه صرفاً یک هشدار عمومی مربوط به پردازش‌های ویندوز.
شناسایی ارتباط میان هشدارها
دسته‌بندی هشدارها امکان بررسی ارتباط احتمالی میان رفتارهای مختلف را فراهم می‌کند. برای نمونه، مشاهده فعالیت‌های مرتبط با اجرای کد، سوءاستفاده از حساب‌های معتبر و دسترسی از راه دور به سیستم‌های دیگر می‌تواند تحلیلگر را به بررسی احتمال یک حمله چندمرحله‌ای هدایت کند. البته ارتباط تاکتیک‌ها و تکنیک‌ها به‌تنهایی اثبات‌کننده وقوع حمله نیست و باید با شواهد واقعی تأیید شود.
برای مشاوره رایگان و یا راه اندازی Splunk/SIEM و مرکز عملیات امنیت SOC با کارشناسان شرکت APK تماس بگیرید |
شناسایی نقاط ضعف در پوشش امنیتی
نگاشت قواعد تشخیص به ATT&CK به مدیران امنیت کمک می‌کند بررسی کنند چه رفتارهایی تحت پوشش سامانه‌های شناسایی سازمان قرار دارند و برای چه تکنیک‌هایی هنوز قابلیت تشخیص کافی طراحی نشده است. این بررسی می‌تواند مبنایی برای توسعه سناریوهای جدید شناسایی تهدید باشد.
چگونه هشدارهای امنیتی را با MITRE ATT&CK تحلیل کنیم؟
برای استفاده مؤثر از این چارچوب در SOC، بهتر است تحلیل هشدارها از یک فرایند مشخص پیروی کند.
مرحله اول: بررسی اطلاعات اولیه هشدار
اولین اقدام، بررسی داده‌های ثبت‌شده در هشدار امنیتی است. تحلیلگر باید مشخص کند رویداد در چه زمانی اتفاق افتاده، چه سیستم یا کاربری درگیر بوده و چه فعالیتی باعث ایجاد هشدار شده است. اطلاعاتی مانند نام پردازش، خط فرمان یا Command Line، پردازش والد، نشانی IP و نتیجه عملیات می‌توانند در این مرحله اهمیت داشته باشند. برای مثال، اگر هشدار مربوط به اجرای PowerShell باشد، صرف مشاهده نام powershell.exe برای تشخیص فعالیت مخرب کافی نیست. باید مشخص شود این پردازش چگونه اجرا شده و چه دستوراتی را انجام داده است.
بیشتر بخوانید: وظایف SOC Analyst چیست و تحلیلگر مرکز عملیات امنیت چه نقشی دارد؟
مرحله دوم: شناسایی تکنیک مرتبط با هشدار
پس از بررسی رفتار مشاهده‌شده، تحلیلگر باید تکنیک یا زیرتکنیک متناسب با شواهد را در چارچوب ATT&CK پیدا کند.
برای نمونه:
| رفتار مشاهده‌شده | تکنیک MITRE ATT&CK | شناسه |
| اجرای مشکوک PowerShell | PowerShell | T1059.001 |
| سوءاستفاده از حساب معتبر | Valid Accounts | T1078 |
| استفاده از RDP برای حرکت جانبی | Remote Desktop Protocol | T1021.001 |
این نگاشت‌ها باید بر اساس شواهد فنی انجام شوند. به‌عنوان مثال، هر ورود موفق به سیستم به معنای سوءاستفاده از حساب معتبر نیست و هر اتصالRDP نیز نشان‌دهنده حرکت جانبی مهاجم نخواهد بود.
مرحله سوم: بررسی ارتباط هشدار با سایر رویدادها
پس از تعیین تکنیک احتمالی، تحلیلگر باید رویدادهای مرتبط را در SIEM یا سایر سامانه‌های امنیتی بررسی کند. برای مثال، اگر اجرای مشکوک PowerShell شناسایی شده است، بررسی ارتباطات شبکه‌ای همان سیستم، تغییرات ایجادشده و فعالیت حساب کاربری مرتبط می‌تواند اطلاعات بیشتری درباره ماهیت رویداد ارائه دهد. در این مرحله، تطبیق زمان، نام سیستم، شناسه کاربر و سایر اطلاعات مشترک اهمیت زیادی دارد. هدف تنها یافتن هشدارهای بیشتر نیست، بلکه مشخص‌کردن ارتباط واقعی میان فعالیت‌ها و بازسازی توالی احتمالی حمله است.
مرحله چهارم: ارزیابی اهمیت و اولویت هشدار
MITRE ATT&CK به‌تنهایی میزان خطر یا اولویت یک هشدار را تعیین نمی‌کند. برای اولویت‌بندی باید عواملی مانند حساسیت دارایی، سطح دسترسی حساب کاربری، میزان اطمینان به شواهد و ارتباط هشدار با سایر فعالیت‌های مشکوک بررسی شوند. برای مثال، اجرای یک دستور غیرمعمول روی رایانه آزمایشگاهی ممکن است اهمیت متفاوتی با اجرای همان دستور روی سرور حیاتی سازمان داشته باشد. بنابراین، اولویت‌بندی هشدارهای امنیتی باید با ترکیب اطلاعات ATT&CK و شرایط واقعی زیرساخت سازمان انجام شود.
سناریوی عملی تحلیل هشدارهای امنیتی با MITRE ATT&CK
فرض کنید سامانه EDR اجرای یک دستور PowerShell مشکوک را روی رایانه یکی از کارکنان شناسایی کرده است. تحلیلگر SOC ابتدا جزئیات پردازش را بررسی می‌کند و متوجه می‌شود PowerShell توسط یک برنامه غیرمعمول اجرا شده و دستوری با محتوای رمزگذاری‌شده دریافت کرده است. این شواهد می‌توانند بررسی زیرتکنی T1059.001 را توجیه کنند، اما هنوز برای تأیید مخرب‌بودن فعالیت کافی نیستند. در ادامه، تحلیلگر با جست‌وجو در SIEM متوجه می‌شود همان حساب کاربری در فاصله زمانی کوتاهی برای ورود از طریق RDP به سرور دیگری استفاده شده است. در این مرحله، رفتار مرتبط با T1021.001 نیز بررسی می‌شود.
تحلیلگر با بررسی زمان رخدادها، مبدأ اتصال، مجوزهای حساب کاربری و ارتباط پردازش‌ها تلاش می‌کند مشخص کند آیا این فعالیت‌ها بخشی از عملیات مجاز مدیریتی بوده‌اند یا احتمال سوءاستفاده وجود دارد. اگر شواهد بیشتری از اجرای کد غیرمجاز و حرکت جانبی به دست آید، مجموعه رویدادها می‌تواند به‌عنوان یک حادثه امنیتی بررسی شود. این مثال نشان می‌دهد که ATT&CK چگونه به سازمان‌دهی تحلیل کمک می‌کند؛ بدون اینکه صرف مشاهده چند تکنیک، وقوع قطعی حمله فرض شود.
نقش MITRE ATT&CK در بهبود قواعد شناسایی تهدید
کاربرد MITRE ATT&CK در SOC به دسته‌بندی هشدارهای موجود محدود نمی‌شود. این چارچوب می‌تواند برای طراحی و بهینه‌سازی قواعد شناسایی تهدید نیز مورد استفاده قرار گیرد. برای مثال، اگر سازمان بخواهد فعالیت‌های مرتبط با سوءاستفاده از PowerShell را شناسایی کند، می‌تواند رفتارهای توصیف‌شده در تکنیک T1059.001 را بررسی کرده و بر اساس داده‌های موجود، قواعد تشخیص مناسبی طراحی کند. در ساختار جدید ATT&CK، مفاهیم Detectio Strategies و Analytics نیز برای توصیف رویکردهای شناسایی و منطق‌های تحلیلی معرفی شده‌اند. برای نمونه، راهبرد تشخیص DET0455 به شناسایی سوءاستفاده از PowerShell می‌پردازد و مواردی مانند دستورات رمزگذاری‌شده، پردازش‌های والد غیرمعمول و رفتارهای مرتبط را در نظر می‌گیرد. تیم SOC می‌تواند با استفاده از چنین اطلاعاتی، سناریوهای تشخیص را متناسب با داده‌های Windows Event Logs ،Sysmon و EDR طراحی و آزمایش کند.
اشتباهات رایج در استفاده از MITRE ATT&CK در SOC
یکی از اشتباهات رایج، اختصاص‌دادن شناسه ATT&CK به تمام هشدارها بدون بررسی دقیق رفتار مشاهده‌شده است. این رویکرد ممکن است باعث ایجاد نگاشت‌های نادرست و ارائه تصویری غیرواقعی از پوشش امنیتی سازمان شود. اشتباه دیگر، یکسان‌دانستن تعداد تکنیک‌های تحت پوشش با کیفیت شناسایی تهدید است. ممکن است یک سازمان برای تعداد زیادی از تکنیک‌ها قواعد تشخیص داشته باشد، اما این قواعد از نظر دقت، کیفیت داده و قابلیت شناسایی رفتار واقعی مهاجم عملکرد مناسبی نداشته باشند. همچنین نباید فرض کرد که تمام مراحل یک حمله الزاماً به‌ترتیب تاکتیک‌های نمایش‌داده‌شده در ماتریس ATT&CK اتفاق می‌افتند. ATT&CK چارچوبی برای توصیف رفتارهای مهاجمان است، نه یک مسیر ثابت که تمام حملات از آن پیروی کنند.
تحلیل هشدارهای امنیتی با MITRE ATT&CK یکی از روش‌های کاربردی برای ایجاد ساختار مشخص در فرایند بررسی رویدادها و توسعه قابلیت‌های شناسایی تهدید در مرکز عملیات امنیت است. این چارچوب به تحلیلگران کمک می‌کند رفتارهای مشکوک را به تکنیک‌های شناخته‌شده مرتبط کنند، ارتباط احتمالی میان هشدارها را بررسی کنند و نقاط ضعف پوشش امنیتی سازمان را بهتر بشناسند. بااین‌حال، استفاده مؤثر از MITRE ATT&CK نیازمند بررسی شواهد فنی، شناخت زیرساخت سازمان و اعتبارسنجی مستمر قواعد تشخیص است. ارزش اصلی ATT&CK در SOC تنها دسته‌بندی هشدارها نیست؛ بلکه تبدیل داده‌های پراکنده امنیتی به تحلیل‌های ساختاریافته و قابل استفاده برای شناسایی و بررسی تهدیدات است.
