Entenda a cobertura de segurança da estrutura MITRE ATT&CK
MITRE ATT&CK é uma base de dados de conhecimento publicamente acessível de táticas e técnicas comumente usadas por invasores, criada e mantida por meio de observações do mundo real. Muitas organizações usam a base de dados de conhecimento MITRE ATT&CK para desenvolver modelos e metodologias específicos de ameaças que são usados para verificar o status da segurança em seus ambientes.
O Microsoft Sentinel analisa dados ingeridos, não apenas para detectar ameaças e ajudar você investigar, mas também para visualizar a natureza e a cobertura do status de segurança da sua organização.
Este artigo descreve como usar a página MITRE no Microsoft Sentinel para exibir as detecções já ativas em seu espaço de trabalho e aquelas disponíveis para você configurar, para entender a cobertura de segurança da sua organização, com base nas táticas e técnicas da estrutura MITRE ATT&CK®.
Importante
No momento, a página do MITRE no Microsoft Sentinel encontra-se em VERSÃO PRÉVIA. Os termos suplementares de versão prévia do Azure incluem termos legais adicionais que se aplicam aos recursos do Azure que estão em versão beta, versão prévia ou que, de outra forma, ainda não foram lançados em disponibilidade geral.
Antes de poder visualizar a cobertura do MITRE para sua organização no Microsoft Sentinel, certifique-se de ter o seguinte:
- Uma instância ativa do Microsoft Sentinel.
- Permissões necessárias para visualizar conteúdo no Microsoft Sentinel. Para obter mais informações, consulte Funções e permissões no Microsoft Sentinel.
- Conectores de dados configurados para ingerir dados de segurança relevantes no Microsoft Sentinel. Para obter mais informações, veja Conectores de dados do Microsoft Sentinel.
- Regras de consulta agendada ativa e regras quase em tempo real (NRT) configuradas no Microsoft Sentinel. Para obter mais informações, veja Detecção de ameaças no Microsoft Sentinel.
- Familiaridade com a estrutura MITRE ATT&CK e suas táticas e técnicas.
O Microsoft Sentinel está atualmente alinhado ao framework MITRE ATT&CK, versão 13.
No Microsoft Sentinel, em Gerenciamento de ameaças, selecione MITRE ATTA&CK (versão prévia). Por padrão, tanto a consulta agendada ativa quanto as regras NRT (quase em tempo real) são indicadas na matriz de cobertura.
Execute um destes procedimentos:
Use a legenda para entender quantas detecções estão ativas no seu espaço de trabalho para uma técnica específica.
Use a barra de pesquisa para procurar uma técnica específica na matriz, usando o nome ou ID da técnica, para visualizar o status de segurança da sua organização para a técnica selecionada.
Selecione uma técnica específica na matriz para ver mais detalhes no painel de detalhes. Lá, use os links para acessar qualquer um dos seguintes locais:
Na área Descrição, selecione Exibir detalhes da técnica... para obter mais informações sobre a técnica selecionada na base de dados de conhecimento da estrutura MITRE ATT&CK.
Role para baixo no painel e selecione links para qualquer um dos itens ativos para acessar a área relevante no Microsoft Sentinel.
Por exemplo, selecione Consultas de busca para ir para a página Busca. Lá, você verá uma lista filtrada das consultas de busca associadas à técnica selecionada e disponíveis para você configurar em seu espaço de trabalho.
Na matriz de cobertura do MITRE, a cobertura simulada refere-se a detecções disponíveis, mas não configuradas no momento, em seu workspace do Microsoft Sentinel. Veja a cobertura simulada para entender o possível status de segurança da sua organização, caso você configure todas as detecções disponíveis para você.
No Microsoft Sentinel, em Gerenciamento de ameaças, selecione MITRE ATTA&CK (Versão prévia) e, em seguida, selecione itens no menu Regras simuladas para simular o possível status de segurança da sua organização.
A partir daí, use os elementos da página como faria de outra forma para exibir a cobertura simulada para uma técnica específica.
Ter uma regra agendada com técnicas MITRE aplicadas em execução regularmente em seu workspace do Microsoft Sentinel aprimora o status de segurança mostrado para sua organização na matriz de cobertura MITRE.
Regras de análise:
- Ao configurar regras de análise, selecione técnicas específicas do MITRE a serem aplicadas à regra.
- Ao pesquisar regras de análise, filtre as regras exibidas por técnica para encontrar suas regras mais rapidamente.
Para obter mais informações, confira Detectar ameaças rapidamente e Criar regras de análise personalizadas para detectar ameaças.
Incidentes:
Quando incidentes são criados para alertas que são gerados por regras com técnicas MITRE configuradas, as técnicas também são adicionadas aos incidentes.
Para obter mais informações, confira Investigar incidentes com o Microsoft Sentinel. Se o seu espaço de trabalho estiver integrado à plataforma de operações de segurança unificadas (SecOps) da Microsoft, então investigue incidentes no portal do Microsoft Defender.
Busca de ameaças:
- Ao criar uma consulta de busca, selecione as táticas e técnicas específicas a serem aplicadas à sua consulta.
- Ao pesquisar consultas de busca ativas, filtre as consultas exibidas por táticas selecionando um item na lista acima da grade. Selecione uma consulta para ver detalhes de tática e técnica à direita.
- Ao criar indicadores, use o mapeamento de técnica herdado da consulta de busca ou crie seu mapeamento.
Para obter mais informações, confira Buscar ameaças com o Microsoft Sentinel e Manter o controle dos dados durante a busca com o Microsoft Sentinel.
Para saber mais, veja: