Domain Separation und MITRE-ATT&CK

Diese Übersicht über die Domänentrennung bezieht sich auf MITRE-ATT&CK. Mit Domänentrennung können Sie Daten, Prozesse und Verwaltungsaufgaben in logische Gruppierungen, sogenannte Domänen, aufteilen. Sie können dann verschiedene Aspekte dieser Trennung steuern, einschließlich der Benutzer, die Daten anzeigen und darauf zugreifen können.

Support-Stufe

Support: Standard.

Funktionsweise der Domänentrennung mit MITRE-ATT&CK

Befolgen Sie diese Schritte, um eine Domänentrennung zu erreichen:

• Erstellen Sie einen Benutzer mit den erforderlichen Rollen sn_ti.admin in der jeweiligen Domäne.
• Replizieren Sie Folgendes für jede Domäne:
  • TAXII Sammlungen
    Hinweis:

    • Aktivieren Sie die Sammlungen nicht in der globalen Domäne. Aktivieren Sie nur die Sammlungen, die repliziert und in Ihrer Domäne verfügbar sind.
    • Ändern Sie das Feld Ausführen als in den Sammlungen in den Benutzer mit der Rolle sn_ti.admin in der entsprechenden Domäne.
  • Definition der Technikabdeckung
  • Extraktionsregel für Technik
  • Erkennungsregeln – MITRE ATT&CK-Zuordnungen
  • Verringerungsabdeckung
    • Kopieren Sie alle Definitionsdatensätze der Abdeckung der Risikominderung.
    • Kopieren Sie den Rechner für die Abdeckungsminderung, oder erstellen Sie einen neuen Rechner für die entsprechende Domäne.
  • Bedrohungsgruppe – Technik-Heatmap-Definitionen

Replizieren Sie die TAXII-Sammlung

1. Navigieren zu Threat Intelligence > Quellen > TAXII-Profile.
2. Verwenden Sie in der Kopfzeile die Domänenauswahl, um Ihre Domäne auszuwählen.
3. Wählen Sie die TAXII-Sammlung aus, die für Ihre Organisation relevant ist (Enterprise ATT&CK, Mobile ATT&CK oder ICS ATT&CK).
4. Klicken Sie mit der rechten Maustaste auf den Header, und wählen Sie Einfügen und beibehaltenaus. Die doppelte TAXII-Sammlung wird unter der ausgewählten Domäne erstellt
5. Navigieren Sie zurück zum MITRE ATT&CK TAXII-Profil, um die doppelte TAXII-Sammlung anzuzeigen.

Die folgende Abbildung zeigt, wie Sie die Domäne TOP/Initech auswählen, die TAXII-Sammlung in der Domäne replizieren und die replizierte TAXII-Sammlung überprüfen.

Zugehörige Konzepte

• Automatische Extrahierungsregeln für den Import von MITRE-ATT&CK Informationen

Zugehörige Tasks

• Richten Sie das Framework MITRE-ATT&CK ein
• Matrizen verwalten
• Techniken verwalten
• Verwalten Sie Risikominderungen
• Gruppen verwalten
• Verwalten von Malware
• Tools verwalten
• Verwalten MITRE Beziehungen
• CVE- und Technikzuordnung verwalten
• Erweitern Sie die Daten MITRE-ATT&CK .
• Definieren Sie die Datenquelle und die Zuordnung des Erkennungstools
• Definieren Sie die Datenquellen- und Datenkomponentenzuordnung
• Definieren Sie die Abdeckung der Technikerkennung
• Ordnen Sie die Technikerkennungsabdeckung einer Technik zu
• Definieren Sie die Risikominderungsabdeckung
• Ordnen Sie Ihre Risikominderungsabdeckung einer Technik zu
• Erstellen und ordnen Sie Erkennungsregeln zu
• Überprüfen Sie die Zuordnung der Bedrohungsgruppe und der MITRE-ATT&CK -Techniken
• Heatmap-Definition von Bedrohungsgruppe zu Technik
• Überprüfen Sie die Systemeigenschaften MITRE-ATT&CK .

Zugehörige Verweise

• Erste Schritte mit dem Framework MITRE-ATT&CK
• Machen Sie sich mit dem Datenmodell MITRE zu STIX vertraut