Woran würden Sie es merken?

Wenn eine Angriffstechnik zur Sprache kommt, lautet die erste Frage fast immer: Haben wir etwas dagegen? Eine Härtung, eine Regel, ein Werkzeug. Die Frage ist berechtigt und führt zu einer Liste von Maßnahmen.

Die zweite Frage wird seltener gestellt und ist im Ernstfall die wichtigere: Woran würden wir merken, dass es passiert?

ATT&CK beantwortet beides

Die ATT&CK-Matrix von MITRE ist bekannt für ihre Techniken und die zugehörigen Gegenmaßnahmen. Weniger bekannt ist der zweite Teil: Zu vielen Techniken steht dort auch, aus welchen Datenquellen sich ein Nachweis überhaupt gewinnen ließe, und zwar bis auf die Komponente genau. Nicht „Logs", sondern etwa der Prozessstart, die Anmeldung, der Netzwerkfluss.

Diese Angabe verschiebt die Diskussion. Eine Technik, gegen die es eine Maßnahme gibt, deren Datenquelle aber nirgends erhoben wird, ist nicht abgedeckt, sondern unsichtbar. Man erfährt von ihr erst, wenn jemand anderes davon erzählt.

Ein Modell, dreimal umgebaut

Beim Umsetzen kam eine Eigenheit zutage, die man selten erwähnt sieht: MITRE hat die Art, wie Datenquellen an Techniken hängen, seit Version 9 dreimal geändert.

In den frühen Fassungen stand die Quelle als schlichte Liste direkt an der Technik. Ab Version 10 gab es eigene Objekte für Datenquellen und -komponenten, die über eine Beziehung auf die Technik zeigen. Seit Version 17 liegt dazwischen noch eine Erkennungsstrategie, die auf Analysen verweist, und erst diese nennen die Protokollquelle.

Wer nur die neueste Variante liest, bekommt bei älteren Beständen eine leere Liste, ohne dass etwas kaputt aussieht. Unser Importer deckt deshalb alle drei Formen ab. Das ist keine elegante Lösung, sondern die einzige, die mit gewachsenen Daten funktioniert.

Warum das Bündel im Repository liegt

Die Matrix stammt aus einem öffentlichen Bestand, der normalerweise beim Import geladen wird. Genau das geht in einem abgeschotteten Netz nicht, und dort steht ein ISMS häufig.

Deshalb liegt jetzt ein Abzug bei, aus dem der Import offline arbeitet; der Netzabruf bleibt nur der Rückfallweg. Damit das vertretbar ist, wurde er auf die tatsächlich gelesenen Objektarten eingedampft, von etwa 46 auf 6 Megabyte. Bedrohungsgruppen, Software und Kampagnen liest der Parser ohnehin nicht, also liegen sie auch nicht im Repository.

Zu jeder Variante gehört eine Prüfsumme mit Herkunftsangabe. Ein Abzug ohne diese Angaben wäre nach einem Jahr ein Datensatz unbekannter Herkunft, und genau daraus entstehen später Fragen, die niemand mehr beantworten kann.

Was man damit anfängt

Aus den importierten Angaben wird je Technik sichtbar, welche Datenquellen für einen Nachweis nötig wären. Verglichen mit dem, was tatsächlich erhoben wird, ergibt das eine Liste blinder Flecken.

Diese Liste liest sich anders als ein Maßnahmenplan. Sie sagt nicht, was zu tun wäre, sondern was man derzeit nicht sehen kann.

Mehr auf der Modulseite Security Automation.