Définir le mappage de la source de données et de l’outil de détection

Définissez la source de données et le mappage de l’outil de détection pour MITRE-ATT&CK les tactiques et les techniques. Le mappage des sources de données vous donne un aperçu de la pertinence et de la disponibilité des sources de données et des outils de détection pour surveiller les sources de données dans votre environnement.

Avant de commencer

Rôle requis :

• sn_ti.admin, sn_si.admin : écriture, suppression de l’accès
• sn_ti.read : accès en lecture

Pourquoi et quand exécuter cette tâche

Vous pouvez identifier les sources de données et les outils de détection dont votre organisation a besoin pour détecter efficacement les techniques.

Par exemple, si votre organisation se concentre sur 5 techniques, vous aurez peut-être besoin de 10 sources de données et de 10 outils de détection pour surveiller ces sources. Supposons que vous identifiez que votre organisation ne dispose pas de deux sources de données et de cinq outils de détection. Cet exercice vous donne une visibilité sur les sources de données, leur pertinence pour votre organisation et pour identifier les lacunes dans la couverture. Vous pouvez également vous concentrer sur l’amélioration de votre environnement avec les bonnes sources de données et les bons outils de détection.

Toutes les tactiques, techniques, ID et sources de données actives sont automatiquement renseignées en fonction de votre TAXII Profil

Procédure

1. Accédez à la Tout > Renseignements sur les menaces > Administration MITRE ATT&CK > Mappage de source de données.

   L’illustration suivante montre la liste des tactiques, techniques et de leurs ID qui ont été renseignées en fonction des mises à jour de votre collection.

   

   Champ	Description
   Tactique	Objectif de l’adversaire ou motif de l’exécution d’une action.
   ID	L’identité unique de Technique.
   Technique	Comment un adversaire atteint un objectif tactique en effectuant une action.
   Source de données	Source de données associée à la technique.
   Source de données révoquée	La source de données est révoquée si elle est définie sur vrai, mais le mappage de source de données est toujours conservé. Si la valeur de la source de données est introuvable dans MITRE, la valeur Source de données révoquée est automatiquement marquée comme Vrai. Le mappage de source de données d’un enregistrement est révoqué si la technique et les relations de la source de données sont absentes des données mises à jour MITRE . Valeur par défaut : false
   Source de données disponible	Disponibilité de la source de données.
   Outil de détection	Outil qui complète la source de données en détectant les techniques utilisées. L’outil de détection est mappé avec le capteur d’alerte dans SIR.
   Révoqué	Le mappage de source de données d’un enregistrement est révoqué si la technique et les relations de la source de données sont absentes des données mises à jour MITRE . Valeur par défaut : false

2. Examinez les sources de données répertoriées et modifiez la valeur dans le champ Source de données disponible en fonction de votre environnement.
3. Remarque :

   Vous ne pouvez pas modifier cette entrée à partir de la vue de liste.
   Dans le champ Outil de détection , procédez comme suit :
   1. Cliquez sur l’icône d’informations, puis sur Ouvrir l’enregistrement.
   2. Déverrouillez l’entrée de l’outil de détection .
   3. Utilisez la liste de recherche pour sélectionner un outil de détection. Vous pouvez sélectionner plusieurs outils de détection.
   4. Cliquez sur Mettre à jour.

   Dans l’illustration suivante, plusieurs outils de détection sont ajoutés pour surveiller la source de données.

   

Concepts associés

• Règles de la technique d’extraction automatique pour l’importation d’informations MITRE-ATT&CK

Tâches associées

• Configurer le cadre de MITRE-ATT&CK travail
• Gérer les matrices
• Gérer les techniques
• Gérer les atténuations
• Gérer les groupes
• Gérer les programmes malveillants
• Gérer les outils
• Gérer les MITRE relations
• Gérer le CVE et le mappage des techniques
• Étendre les MITRE-ATT&CK données
• Définir le mappage de la source de données et du composant de données
• Définir la couverture de détection de technique
• Mapper votre couverture de détection de technique à une technique
• Définir la couverture d’atténuation
• Mapper votre couverture d’atténuation à une technique
• Créer et mapper des règles de détection
• Examiner le mappage des groupes de menaces et MITRE-ATT&CK des techniques
• Groupe de menaces à définition de carte thermique de technique
• Passer en revue les MITRE-ATT&CK propriétés système

Référence associée

• Introduction au cadre de MITRE-ATT&CK travail
• Comprendre le modèle de MITRE données de destination STIX
• Séparation de domaine et MITRE-ATT&CK