![](https://csdnimg.cn/release/download_crawler_static/88058904/bg1.jpg)
首发“网络安全文化框架”,助力关基脆弱性评估
首发
“
网络安全文化框架
”
,助力关基脆弱性评估
据美国投资咨询机构 Cybersecurity Ventures 预测,2021 年,网络犯罪会给社会造成 6 万
亿美元的损失。
网络攻击的数量和复杂性不断增加,安全界一直致力于根据报告的事件
及其深入分析对网络安全攻击模式和技术进行建模,以预测攻击者的恶意行为。
MITRE ATT&CK
提出的
“
中级对抗模型
”
可能是最为知名的,它解决了为什么、如何以及
谁在对数字基础设施进行网络攻击的问题。
MITRE ATT&CK
是一个基于对网络安全威
胁的真实观察而建立的攻击者战术和技术的知识库,
受到了安全厂商和企业的广泛欢迎。
目前,在分析特定的攻击战术与导致这种攻击的组织文化和人类行为因素方面已经做了大量
的研究,但还没有一个关于两者联系的整体观点。在本文中,我们将介绍一套包含组织和个
人文化因素的网络安全文化框架,并与 ATT&CK 知识库提供的攻击者战术和威胁联系起来,
在评估企业业务环境安全的同时,还重点评估组织的安全文化。通过多维的评估方法,可以
进一步识别企业的安全策略、流程和基础设施中存在的威胁漏洞。这些漏洞可能会导致网络
犯罪分子应用 MITRE ATT&CK 矩阵中描述的恶意技术进行攻击。因此,企业组织可以利用
网络安全文化框架来识别未被充分利用或被忽视的安全缓解措施,并评估可能的 MITRE
ATT&CK 风险。
本文共包括
5
节内容。第
1
节介绍了
MITRE ATT&CK
针对网络攻击的创新方法,以及
网络安全文化框架相关的背景信息。第
2
节介绍了使用网络安全文化框架评估
MITRE
ATT&CK
风险的方法。第
3
节通过两个案例场景,展示了企业如何利用网络安全文化框
架识别潜在的安全漏洞。第
4
节概述了所提出方法的一些考虑因素和局限性。第
5
节总
结了所提出的方法对企业的意义和影响。
1.
背景介绍
1.1 MITRE ATT&CK
MITRE ATT&CK 于 2013 年启动,当时是为了记录针对 Windows 系统进行攻击的战术、技
术和步骤(TTP),以提高对恶意行为的检测。近年来,ATT&CK 有了很大的发展和变化,
研究了其他平台和技术,并发展成为一个针对网络攻击整个生命周期内对抗行为的知识库。
现在,ATT&CK 既可以用作攻击模拟的剧本,也可以用于确定目标网络内攻击技术的覆盖
范围和防御缺口。
ATT&CK 框架的核心组成部分包括战术、技术、子技术、步骤、缓解措施。
战术:战术表示攻击者执行 ATT&CK 技术或子技术的目标,说明攻击者为什么会进行
这项操作;战术是对个别技术的情景化分类,是对攻击者在攻击过程中所做事情的标准
化定义,例如持久化、发现、横向移动、执行和数据窃取等战术。
技术:技术代表攻击者通过执行动作来实现战术目标的方式。例如,攻击者可能从操作