MITRE-ATT&CK 管理

ServiceNow AI Platform の MITRE-ATT&CK リポジトリで データソースを設定しマッピングし、全体的なテクニックディスカバリー範囲をマッピングして保持できます。

• MITRE-ATT&CK フレームワークの開始
  MITRE-ATT&CK のセットアップを開始する前に、次の情報を確認します。
• MITRE - STIX データモデルの概要
  ServiceNow AI Platform の MITRE-ATT&CK™フレームワークを効率的に使用して理解するには、MITRE および STIX で使用されている用語を確認してください。
• ドメインセパレーションと MITRE-ATT&CK
  これは、MITRE-ATT&CK に関するドメインセパレーションの概要です。ドメインセパレーションでは、データ、プロセス、および管理タスクをドメインと呼ばれる論理的なグループに分けることができます。その後、どのユーザーがデータを表示できるか、データにアクセスできるかなど、このアプリケーションのいくつかの側面を制御できます。
• MITRE-ATT&CK フレームワークを設定する
  MITRE-ATT&CK プロファイルをアクティブ化し、組織内で脅威検出の MITRE-ATT&CK コレクションを設定できるように、スケジュール済みジョブを設定します。
• マトリクスを管理する
  MITRE TAXII コレクションからインポートされたマトリクスを管理します。マトリクスとは、戦術やテクニックのコレクションです。マトリクスを表示して、自分のコレクションが MITRE-ATT&CK リポジトリで使用可能かどうかを確認できます。
• テクニックの管理
  MITRE TAXII コレクションからインポートされたテクニックを管理します。テクニックには、攻撃者が特定の戦術を使用するために開発したさまざまな方法が含まれています。組織に関係のないテクニックは、確認して非アクティブ化できます。STIX では、テクニックは攻撃パターンと呼びます。
• 緩和の管理
  MITRE TAXII コレクションからインポートされた緩和を管理します。緩和により、攻撃者が組織に対してテクニックまたはサブテクニックを実行することを防ぐことができます。STIX では、緩和は対処措置として知られています。
• グループの管理
  MITRE TAXII コレクションからインポートされたグループを管理します。グループは、セキュリティコミュニティで共通の名前で追跡される、関連する侵入アクティビティのセットです。アナリストは、脅威グループ、アクティビティグループ、攻撃者、侵入セット、キャンペーンなどのさまざまな用語を使用して、アクティビティのクラスターを追跡します。STIX では、グループは侵入セットと呼ばれます。
• マルウェアの管理
  MITRE TAXII コレクションからインポートしたマルウェア情報を管理します。マルウェアは、悪意のあるコードを表す TTP の一種です。これは、システムに密かに挿入されるプログラムを指します。マルウェアの目的は、被害者のデータ、アプリケーション、またはオペレーティングシステム (OS) の機密性、完全性、または可用性を侵害することです。
• 管理ツール
  MITRE TAXII コレクションからインポートしたツール情報を管理します。ツールは、攻撃者が攻撃を行うために使用する正当なソフトウェアのことです。
• MITRE との関係の管理
  MITRE TAXII コレクションからインポートした MITRE との関係情報を管理します。
• CVE とテクニックマッピングの管理
  MITRE TAXII コレクションをインポートした後にマッピングされる CVE とテクニック情報を管理します。
• MITRE-ATT&CK データを拡張する
  ServiceNow AI Platform の MITRE-ATT&CK リポジトリデータを増やすことで、拡張します。
• データソースと検出ツールのマッピングの定義
  MITRE-ATT&CK 戦術およびテクニックのデータソースと検出ツールのマッピングを定義します。データソースマッピングは、データソースの関連性と可用性、および環境内のデータソースを監視するための検出ツールを提供します。
• データソースとデータコンポーネントのマッピングの定義
  最新の TAXII コレクションを使用していて、データソース、データコンポーネント、およびさまざまなテクニック間の関係を維持する場合は、データコンポーネントマッピングを使用します。データソースに追加のサブレイヤーコンテキストを提供するデータコンポーネントの追加コンテキストでデータソースをマッピングすることで、MITRE-ATT&CK 内の攻撃者の行動をより理解することができます。
• テクニックディスカバリー範囲の定義
  組織が特定の攻撃者のテクニックを測定して検出する必要があるテクニックディスカバリー範囲を定義します。
• テクニックディスカバリー範囲をテクニックにマッピングする
  組織が特定の攻撃者のテクニックを検出できるようにするテクニックを使用して、全体的なテクニックディスカバリー範囲をマッピングします。
• 緩和対象範囲の定義
  特定のテクニックによって発生する攻撃を組織がどの程度阻止できるかを可視化できるように、テクニックに関連する各緩和策の緩和対象範囲を定義します。
• 緩和対象範囲をテクニックにマッピングする
  組織の全体的な緩和戦略が検出できるようにするテクニックを使用して、緩和対象範囲をマッピングします。
• 検出ルールの作成とマッピング
  検出ルールを作成し、戦術とテクニックに対してマッピングします。このマッピングを使用すると、組織内の検出ルールの対象範囲を確認できます。
• MITRE-ATT&CK 情報をインポートするための自動抽出テクニックルール
  ベースシステムの自動抽出ルールを使用して、既存のサードパーティ統合から MITRE-ATT&CK 情報をインポートします。
• 脅威グループと MITRE-ATT&CK テクニックのマッピングを確認する
  MITRE TAXII コレクションからインポートされる、脅威グループとテクニックのオブジェクト間の関係マッピング情報を確認します。このマッピングにより、テクニックグループと対応するテクニックマッピングを表示できます。
• 脅威グループ - テクニックヒートマップ定義
  ヒートマップ上で脅威グループが組織への攻撃に使用している攻撃パターンを測定、検出できるように、脅威グループ - テクニックヒートマップ定義を行います。多数の攻撃者がいる場合、特定のテクニックを使用する攻撃の可能性が高くなります。
• MITRE-ATT&CK のシステムプロパティの確認
  MITRE-ATT&CK のシステムプロパティ値を確認します。

関連概念

• MITRE-ATT&CK を使用した脅威の検出と分析