Sempre procuramos e nos preocupamos em saber se estamos realmente protegidos contra os ataques mais comuns e sofisticados.

A MITRE possui uma ferramenta bem interessante com kits de ataque que é o AttackIQ Flex disponivel em https://www.attackiq.com/

O que é o AttackIQ Flex

Um conjunto de ferramentas para simular ataques com diversas simulações de ataques separadas por grupos, onde poderá seguir as instruções.

Os pacotes de teste são separados entre os que são gratuitos e os pagos com créditos que podem ser adquiridos na propria ferramenta.

É importante essas ferramentas já que a Microsoft não tem mais o recurso de Simulador de Ataques nativo na suite (Microsoft Defender for Endpoint evaluation lab | Microsoft Learn)

Exemplo: Pacote de teste de EDR

Ao baixar o pacote de EDR basta executar o conteudo e 27 diferentes ataques serão simulados como CryptoInject, Petya, WannaCrypt, Diamond e outros.

Execute o script que irá executar passo a passo cada um dos 27 ataques simulados. Lembrando que são simuladores que não encriptam ou realmente efetivam o ataque, mas sim geram os sinais que os EDRs deveriam nativamente identificar para evitar que o ataque seja efetivado:

Instantaneamente o EDR deverá alertar o usuário que os ataques foram bloqueados, arquivos enviados para quarentena ou reportados:

Uma vez finalizado será gerado um arquivo zip com o resultado do teste, que deverá ser feito upload no site do AttackIQ Flex que irá gerar um report executivo bem detalhado:

Resultado da Proteção do Defender for Endpoint EDR

E como o Defender for Endpoint, a solução EDR da Microsoft, se saiu no testes?

MUITO BEM OBRIGADO!!!!!

Ele detectou todos os 27 ataques com nota 100%, gerou os alertas e um unico incidente agregado para a estação atacada na simulação e a integração com Sentinel detalhou as ações.

Como comentado o Defender conseguiu identificar que o ponto de ataque sofreu uma sequencia de ataques e gerou os 27 alertas e um único incidente:

E como tenho meu ambiente integrado, o Sentinel recebeu todos os alertas para serem tratados pelo SOC com detalhes das entidades envolvidas para tomada de decisões:

Conclusão

O Defender for Endpoint se saiu muito bem, como é esperado.

O kit de ferramentas da AttackIQ Flex se mostrou eficiente e abrangente com um catálogo extenso em categorias e diferentes simuladores.

Outra feature que estava em private preview para MVPs e parceiros e agora se tornou público é o recurso de mapeamento dos alertas e huntng queries do Sentinel com a matriz de cobertura do MITRE.

Esse recurso não gera um custo já que ele é um dashboard que demonstra a matriz ao inves da lista de itens.

Como MITRE é mapeado atualmente

Hoje os alertas e hunting queries já trazem as técnicas MITRE que estão sendo abordadas como mostra a imagem abaixo:

Podemos observar que as táticas e técnicas já são mapeadas tanto no cabeçalho quando em cada um dos itens de pesquisa ativa do Sentinel.

Mas esses dados estão desestruturados e é necessário clicar para fazer um filtro das vulnerabilidades com o mapa de cobertura do MITRE, muito usado hoje.

Como o MITRE será mapeado agora com o Preview

Os mesmos dados da consulta acima, agora podem ser visto diretamente no mapa de cobertura MITRE:

Com esse mapa ficará muito mais fácil categorizar os diferentes tipos de vulnerabilidades que preciso me proteger já que ele me traz a possibilidade nos detalhes de abrir as queries que geraram os diferentes pontos de atenção!

Alem disso, tambem é possivel com a opção Simulated mapear quantos diferentes tipos de vulnerabilidades eu tenho cobertura, mesmo que não tenha resultado na query hoje.

Esse efeito de simulação é muito interessante pois me permite saber se o Sentinel tem o necessário para cobrir todos os pontos que me interessam e me permitirá ter uma visão gerencial incluindo as hunting queries que eu mesmo crie.

Anuncio do Public Preview: What’s Next in Microsoft Sentinel? - Microsoft Tech Community e documentação View MITRE coverage for your organization from Microsoft Sentinel | Microsoft Docs

Um dos itens mais importantes nos últimos anos é a capacidade dos antivírus tradicionais versus os antivírus de nova geração (NGAV) alem de ferramentas com essas capacidades como o ATA e o ATP Marcelo de Moraes Sincic | Buscar por 'comportamental' (marcelosincic.com.br)

Com a evolução destes produtos o termo EDR se tornou muito comum e novas denominações como XDR (Extended Detection and Response) para definir estes produtos que usam inteligência artificial baseada em SaaS.

Como Avaliar um EDR?

Essa é a pergunta que muitos agora fazem, antes utilizávamos métodos de detecção de virus com um pendrive cheio de malwares, mas agora com o EDR e XDR estes testes baseados em assinatura de código (DAT) não são suficientes.

Para avaliar as capacidades, o MITRE, muito conhecido pela base de conhecimento MITRE ATT&CK® criou uma série de testes que as empresas de segurança executam e publicam os resultados dos seus EDRs.

Quanto maior o numero de passos detectados, melhor será a visibilidade do ataque que foi deflagrado.

Como Acessar e Ler o Ranking do MITRE ENGENUITY | ATT&CK Evaluations?

Acesse o site ATT&CK® EVALUATIONS (mitre-engenuity.org) e poderá ter um overview do processo, onde verá que já existem 3 diferentes “rounds”:

• APT3 – Ataques que foram detectados e atribuídos ao governo chinês, baseado em roubo de identidade, movimentação lateral com scripts, rootkits e bootkits
• APT29 – Ataques que foram detectados desde 2008 pelo governo russo baseados em PowerShell e WMI
• Carbanak+FIN7 – Hoje um dos mais especializados, visam instituições financeiras utilizando os mais diversos tipos de ataques com sofisticação suficiente para se passarem por ferramentas administrativas dos SOs e até PDV

Uma vez entendendo os 3 diferentes conjuntos de teste, em geral avaliamos o Carbanak+FIN7 que é o mais sofisticado e atual.

Destaque para o comparativo entre os produtos, por exemplo se utilizarmos Microsoft x McAfee é possível saber as formas e técnicas em que cada um dos NGAV utilizaram para detectar os ataques.

Nessa comparação podemos ver o detalhamento do tipo de ataque e o nível de log que o EDR irá gerar, clicando no link [1] que o NGAV da Microsoft criou:

Já o detalhamento de cada fabricante indica um resumo da eficiência em detectar os passos e gerar os EDRs para cada conjunto de ataques submetidos:

O quadro acima mostra o numero de passos mínimo definido pelos algoritmos e quantas ações o EDR da Microsoft conseguiu identificar, o que representam passos antes e depois do ataque realizado.

Abaixo do quadro de resumo poderá ver o detalhamento dos ataques realizados com base na matriz do MITRE e ver por round a tática, técnica, sub técnica e passos que o EDR identificou. Ao clicar nas técnicas é possível ver os detalhes de cada item

Outro interessante dado disponível são os resultados dos testes, esse retorna o EDR gerado:

Como Reproduzir o Mesmo Ambiente Validado nos Testes?

Talvez você já possua um dos fabricantes que foram testados, mas não tem certeza se tem os pacotes e configurações corretas.

Afinal, é importante lembrar que os testes acima são conduzidos pelos fabricantes e submetidos para publicação, então sabemos que utilizaram um conjunto de ferramentas e configurações bem construídas.

Por conta disso, os fabricantes publicam um relatório que está disponível no mesmo site, por exemplo no caso de Microsoft vemos os produtos e configurações utilizadas: