מבדקי MITRE בעולם ה EDR קיימים כבר 4 שנים.
MITRE הינו ארגון אמריקאי עובד עבור הממשל הפדרלי בכל מיני פרויקטים לטובת הממשל האמריקאי (תעופה, Homeland, רפואה ועוד). MITRE הינו גוף בלתי תלוי, אקדמי, ללא מטרות רווח.
עבור השוק הפרטי יחד עם יצרנים וקהילת אבטחת המידע ולהציע מענה ומבדקים בלתי תלויים לאיומי הסייבר בעולם.
שיתוף פעולה זה יצר מענה להתקפות ואיומי הסייבר שקיימים בעולם.
מבדקים מתחלקים ל- 2 נושאים:
Detection Test
Protection Test
לפני MITRE חברות שהיו עושים בדיקות. היו לוקחים דוגמאות אמיתיות של וירוסים ומבצעים בדיקה אם הווירוס/ההתקפה מזוהה על ידי האנטי וירוס. בדיקות אלו היו בעייתיות מאחר ולא תמיד הייתה גישה מלאה לקוד של הווירוס, השרת ניהול CNC של הווירוס/התקפה לא תמיד היה זמין (הרבה פעמים הורידו אותו, פגעו בו או שמחקו אותו אחרי ביצוע ההתקפה האמיתית ולבדיקות לא הצליחו להתחבר).
MITRE הביאו מתודולוגיה חדשה בה הם בודקים את הקוד של הווירוס / ההתקפה, יודעים בדיוק מה הם הולכים להריץ, מבצעים סימולציה מלאה של התקפה ויודעים בדיוק מה בודקים. הם מאפשרים לכל יצרן של מערכת EDR, בכל שלב של התקיפה יכולת להראות את ה- Detection, את זיהוי האירוע במערכות שלו. רק לאחר שלב זה, שבו כל יצרן מזהה את האירועים והסימולציה הסתיימה, עוברים לשלב של Protection, שלב חסימת ההתקפות.
לא מספיק שזיהינו את ההתקפות, עשינו Visibility על ההתקפה, אלא, גם בודקים את היכולת של המערכת לעצור את ההתקפה, כמובן כמה שיותר מוקדם.
MITRE ATT&CK® Matrix
מוצר נוסף MITRE הוציאו נקרא MITRE ATT&CK® Matrix הוא נחשב כמאגר התקיפה הגדול והשלם ביותר שקיים ועליו מתבססים רוב פתרונות אבטחת המידע. הוא מכיל את התיעוד של כל סוגי התקיפות הקיימות כיום גם בעולמות של טקטיקה (תיעוד וזיהוי כל שלב בתקיפה) ומאפשר לייצר מודלים וטכניקות של הגנה מהתקיפות בכל שלב וכל מערכת הפעלה.
בנוסף, הם הוסיפו מידע מודיעיני על קבוצות התקיפה והאיומים שלהם ובכך שיפרו את המבדקים והתאמתם לסוגי התקיפה השונים.
במבדק האחרון בוצעו סימולציות של התקפות מ 2 קבוצות תקיפה שונות.
חלק מהדרישות כוללות יכולת לבצע התקפה רחבה הכוללת מחשבים, תקשורת ועוד ולא התקפה פשוטה או אזוטרית .
בנוסף, הם רוצים לוודא שיש מספיק ידע לבצע סימולציה של ההתקפה עם יכולת לדעת בדיוק איך ההתקפות הללו עובדות.
כל התהליך מבוצע בשיתוף קהילת אבטחת המידע, כשנה לפני הבדיקה צוות MITRE מבקשים את עזרת הקהילה לקבלת מידע רב ככל שניתן על קבוצות התקיפה, מידע על ההתקפה עצמה וכל מידע אחר שיוכל לעזור להכין את הסימולציה בצורה המיטבית.
המטרה היא להגיע כמה שיותר קרוב להתקפה האמיתית ולשקף את רמת הכיסוי של כל פתרון אבטחת המידע לסוג התקפה.
סיכום הבדיקות של MITRE לא מציגות שורה תחתונה, אין זוכה או מפסיד. תוצאות הבדיקות מציגות כל שלב בסימולציה של התקיפה על ידי צילומי מסך ואת הצגת יכולות ההגנה של המוצר והחברות מציגות גם את הבקרות המפצות שיש להם על בפערים שנתגלו.
MITRE ATT&CK® Matrix – מכיל את השלבים ואת תתי השלבים של וקטור התקיפה ומה נעשה בכל שלב. כמו כן לכל תת שלב ושלב יש קוד זיהוי שמאפשר לתת מידע נרחב יותר על הפעולה וחברות אבטחת המידע משתמשות בו על מנת להציג את המידע על זיהוי ההתקפה.
https://attack.mitre.org/
העמודות במטריצה מציגות את כל התתי ההתקפות שירוצו בכל שלב. לא בכל התקפה ירוצו כל התהליכים אלא חלקם עד להגעה למטרה. כל עמודה מציגה את טכניקות ותהליכים שבהם המערכת רצה ומנסה לתקוף.
כאשר מערכת EDR מזהה ועוצרת את ההתקפה, היא מציגה מידע על הטכניקות של MITRE שהיא זיהתה ומספקת חיווים ומידע נוסף על ההתקפה.
כל יום המערכת מתחילה סוג התקפה מסויים בה רוצים לראות איך ה EDR מזהה את ההתקפות. כל יום התקפה מכיל בתוכו תהליך התקפה משלו הכולל תתי התקפות בהתאם לקבוצת התקיפה אותה רוצים להעתיק. ההתקפות רצות על סוגי מערכות הפעלה שונות, בעיקר Windows ו- Linux.
בסופו של תהליך ההתקפות MITRE מציגה את התוצאות, הדירוג של מערכת ה- EDR. MITRE לא מדרגת את כל מערכות ה EDR לפי תוצאה סופית אלא מדרגת כל מערכת EDR בנפרד ומציגה תוצאה לכל תהליך התקפה ותת התקפה.
ישנן מערכות שלא נבדקו אצל ספק מסוים ואז אין תוצאה באותו מבדק, ובמערכות שכן נבדקו, ישנה תוצאה המכילה כמה בדיקות ה EDR עבר מתוך כמה בדיקות.
בנוסף, ישנו פירוט מדויק מה נבדק, איך המערכת זיהתה את ההתקפות ותתי התקפות ומה בדיוק היא זיהתה.
ניתן לראות בטבלה את התוצאות של הבדיקה של מערכת SentinelOne EDR בהתאם למבדקים ב 4 שנים האחרונות (משנת 2018)
בסיום הבדיקות, MITRE מאפשרת לעדכן את הקונפיגורציה של ה EDR ולהריץ התקפה או תת התקפה ולבדוק אם הם מגינים עת המערכת לאחר השינוי – Agent Config Change
לסיכום,
ארגון MITRE בודק את מערכות EDR בהתאם ליצירת תהליך התקפה של קבוצות תקיפה מובילות בעולם.
MITRE לא מדרג את מערכות EDR אלא מציג מידע על הצלחת ה Detection וה- Protection לכל אחת מהמערכות כולל יכולת לבחון איפה בדיוק, באיזה סוג התקפה ותת התקפה מערכת ה EDR זיהתה את ההתקפה (Detection) והפעילה הגנה בעמדת הקצה (Protection), וכן, מידע מפורט שהמערכת סיפקה על ההתקפה בהתאם ל MITRE ATT&CK® Matrix.
מוזמנים ליצור קשר לקבלת מידע נוסף ובחינת פתרונות EDR