Mobile-Menu

Das Mitre-Framework und der Channel So treffen Security Services den Bedarf beim Kunden

Von Dipl.-Phys. Oliver Schonschek

Anbieter zum Thema

G DATA CyberDefense AG
WatchGuard Technologies GmbH
Fsas Technologies GmbH

Das Mitre Att&ck Framework hilft nicht nur bei Evaluierung von Endpoint Detection & Response (EDR)-Lösungen, sondern zeigt die Lücken in der Verteidigung der Kunden. Dadurch kann der Security Channel passgenau die Lösungen und Services anbieten.

Gezielte Abwehrmechanismen lassen sich dank der Informationen aus dem Att&ck-Framework entwickeln.(Bild: Prajukpunt - stock.adobe.com)
Gezielte Abwehrmechanismen lassen sich dank der Informationen aus dem Att&ck-Framework entwickeln.
(Bild: Prajukpunt - stock.adobe.com)

Wenn die Non-Profit-Organisation Mitre die Ergebnisse ihrer unabhängigen Evaluierung von Security-Lösungen veröffentlicht, erregt dies inzwischen in der Security-Branche einiges an Aufsehen. So simulierte Mitre im Jahr 2020 auf Basis der Att&ck-Wissensbasis die Taktiken und Techniken von APT29, einer Gruppe, von der Cybersicherheitsanalysten glauben, dass sie im Auftrag der russischen Regierung operiert. Untersucht wurden die Cybersicherheitsprodukte von 21 Anbietern, um Regierungen und Unternehmen dabei zu unterstützen, bessere Entscheidungen zur Bekämpfung von Sicherheitsbedrohungen zu treffen.

Die teilnehmenden Security-Anbieter zeigten sich von den Ergebnissen überzeugt. Vladimir Kuskov, Head of Advanced Threat Research and Software Classification bei Kaspersky, sagte zum Beispiel: „Diese technische Bewertung vergleicht die Fähigkeiten von EDR-Lösungen als Reaktion auf reale gegnerische Aktivitäten mit einem beispiellosen Maß an Angriffsdetails und Ausführungstransparenz. Solche Tests zeigen die allgemeine Bereitschaft der Branche, fortgeschrittenen Bedrohungen zu begegnen, und die Lücken, die geschlossen werden müssen.“

„CrowdStrike ist der festen Überzeugung, dass unabhängige Tests von Drittanbietern für die Cybersicherheitsbranche von entscheidender Bedeutung sind, da Kunden einen unvoreingenommenen Überblick über die Wirksamkeit der Lösungen erhalten, auf die sie sich verlassen, um Verstöße jede Minute eines jeden Tages zu stoppen“, so Michael Sentonas, CTO von CrowdStrike.

Doch nicht nur die Hersteller von Security-Lösungen und die Anwenderunternehmen können von dem Mitre Att&ck Framework profitieren, auch der Security Channel.

Was ist Att&ck und was sind die Ziele des Mitre-Frameworks:

Att&ck ist eine von Mitre entwickelte Wissensbasis für gegnerische Taktiken und Techniken, die auf realen Beobachtungen basieren. Mit Att&ck können Lücken in der Sichtbarkeit, in defensiven Tools und Prozessen gefunden werden, so dass Unternehmen die richtigen Tools bewerten und auswählen können, um ihre Netzwerkverteidigung zu verbessern. Unternehmen setzen Att&ck häufig ein, um ihre Investitionen in die Sicherheit zu priorisieren und sich auf die für sie wichtigsten Bedrohungen zu konzentrieren.

Ziele:

  • objektive Einblicke für Anwender in die Verwendung bestimmter kommerzieller Sicherheitsprodukte, um bekannte Verhaltensweisen von Gegnern anzugehen
  • Bereitstellung von Transparenz über die tatsächlichen Fähigkeiten von Sicherheitsprodukten zur Bewältigung bekannter Verhaltensweisen von Gegnern
  • die Community der Sicherheitsanbieter dazu bringen, ihre Fähigkeit zu verbessern, bekannte Verhaltensweisen von Gegnern anzugehen

Wie lässt sich das Mitre-Framework nutzen?

Für den Security Channel ergeben sich gleich mehrere Anwendungsfälle mit dem Mitre-Framework:

  • Das Mitre-Framework hilft dem Channel, bessere Empfehlungen an Kunden auf der Grundlage von unabhängigen Bewertungen zu geben.
  • Es kann als eine Art Standardsprache für die Berichterstellung und Analyse hin zum Kunden genutzt werden.
  • Dienstleister, die Threat Hunting und IR-Services (Incident Response Services) anbieten, können das Framework als Struktur und Basis ihrer Dienste verwenden.
  • Red-Team-Services können das Bedrohungsverhalten bekannter Cybercrime-Gruppen simulieren, um die Entwicklung, das Testen und die Validierung der Verteidigung durch das Blue Team zu unterstützen.
  • Berater für CISOs können das Ergebnis der Simulationen nutzen, um eine Verteidigungsstrategie zu empfehlen, die zu den erkannten Lücken beim Kunden passt.
  • Das Mitre Framework kann verwendet werden, um zu bestimmen, wie effektiv ein Security Operation Center (SOC) beim Erkennen, Analysieren und Reagieren auf Angriffe ist.

„Das strukturierte Wissen in Mitre Att&ck hilft Verteidigern, wie ein Angreifer zu denken“, erklärt Anthony James, VP Product Marketing bei Infoblox. „Dies hilft den Verteidigern, Cyberangriffe zu erkennen und zu stoppen, bevor sie Schaden anrichten oder vertrauliche Daten herausfiltern können.“

Wie nutzen Security-Dienstleister das Mitre-Framework aktiv?

Wie sich das Mitre-Framework konkret im Security Channel einsetzen lässt, zeigen auch diese Beispiele. So hat der Security-Awareness-Anbieter Immersive Labs seine Plattform mit den Cyber-Skills-Schulungen mit dem Mitre Att&ck-Framework verknüpft. Dabei geht es um die Zuordnung von benötigten Fähigkeiten zu den Bedrohungen und damit um zielgenaue Schulungs- und Awareness-Lösungen für die jeweiligen Kunden. Anhand des Mitre-Frameworks und den zugeordneten Skills lassen sich die Lücken in der Security-Awareness und in den Security-Fähigkeiten beim Kunden erkennen und passende Module anbieten.

Ein weiteres Beispiel: Netsurion, ein Anbieter im Bereich Managed Security Services, hat die Integration des Mitre Att&ck-Frameworks in die Version 9.3 seines SIEM EventTracker bekanntgegeben, das im Rahmen von SOC-as-a-Service (SOCaaS) angeboten wird.

„Wir freuen uns besonders, unseren gemeinsam verwalteten SIEM-Benutzern bessere Einblicke in die Natur der heutigen Cyberangriffe zu bieten“, sagte A.N. Ananth, Netsurions Chief Strategy Officer. „Durch die Übernahme des Att&ck-Frameworks in unsere EventTracker-Produkte und -Dienstleistungen verbessern wir die Bedrohungssuche und verwenden Standardvokabeln. Das Ergebnis ist eine bessere und umfassendere Erkennung laufender Angriffe. Darüber hinaus bieten wir diesen Benutzern in den ersten kritischen Momenten, in denen ein Problem entdeckt wurde, einen großen Erkennungs- und Untersuchungsvorteil. Und weil Att&ck eine gemeinsame Taxonomie zur Beschreibung dieser Angriffsmuster schafft, ist es einfacher, Bedrohungsinformationen mit Konsistenz, Genauigkeit und höherer Effektivität zu teilen.“

„Die Mitre Att&ck-Wissensdatenbank bietet der Cybersicherheitsgemeinschaft eine gemeinsame Sprache für die Beschreibung von Verhaltensweisen von Gegnern“, sagte Jon Baker, Abteilungsleiter bei Mitre. „Wir sind weiterhin von der Art und Weise inspiriert, wie die gesamte Community Att&ck einsetzt, um ihre Abwehrkräfte zu verbessern.“

Von der Partnerseite wird dies ebenfalls positiv aufgenommen: „Mit der Integration von Att&ck in das gemeinsam verwaltete SIEM verschafft Netsurion Unternehmen wie uns einen großen Vorteil, wenn es darum geht, anspruchsvolle Bedrohungen schneller und genauer als sonst zu identifizieren und zu verstehen“, sagte Brad Alexander, Vice President und CTO bei dem Partnerunternehmen Immedion.

Wissen, was läuft

Täglich die wichtigsten Infos aus dem ITK-Markt

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Passgenaue Security-Maßnahmen

Eine Möglichkeit, das Mitre-Framework in eigene Security Services zu integrieren, ist die Anbindung von Security-Lösungen, die bereits das Framework nutzen. Ein Beispiel ist die Plattform von VMRay, die die Ergebnisse der Malware-Analysen auch auf Grundlage des Mitre-Frameworks darstellt. Security Service Provider, die ihre SOC-Dienste um VMRay erweitern, erhalten somit für ihre eigenen Security-Analysten, aber auch für die Berichte an die CISOs der Kunden, Malware-Analysen, die die erkannten Bedrohungen in der Sprache des Mitre-Frameworks erläutern.

Solche Reports auf Mitre-Framework-Basis kann man auch vergleichen mit den Mitre-Ergebnissen zu den untersuchten EDR-Lösungen. So kann man als Channel-Partner erkennen und empfehlen, welche Lösungen der Kunde am besten einsetzen sollte. Passgenaue Lösungen wünschen sich nicht nur die Kunden, sie helfen auch am besten, um die Lücken in der Cybersicherheit gezielt zu schließen.

(ID:46802480)

Weiterführende Inhalte

Jobs