脅威アクターのTTPをMITRE Navigatorで分析

脅威アクターのTTPをMITRE Navigatorで分析 は何をしますか？

概要

MITRE ATT&CK Navigatorは、ATT&CKマトリックスに注釈を付け、可視化するためのWebアプリケーションです。 attackcti Pythonライブラリ（TAXIIを介してATT&CK STIXデータをクエリする）と組み合わせることで、 アナリストは特定の脅威グループのTTPをマッピングしたNavigatorレイヤーファイルをプログラムで生成し、 複数のグループを比較し、既知の敵に対する検出範囲のギャップを評価できます。

使用するタイミング

• 脅威アクターのTTPをMITRE Navigatorで分析する必要があるセキュリティインシデントを調査する場合
• このドメインの検出ルールや脅威ハンティングクエリを構築する場合
• SOCアナリストがこの分析タイプの構造化された手順を必要とする場合
• 関連する攻撃手法のセキュリティ監視範囲を検証する場合

前提条件

• Python 3.8以上（attackctiおよびstix2ライブラリがインストールされていること）
• MITRE ATT&CK Navigator（Web UIまたはローカルインスタンス）
• STIX 2.1オブジェクトと関係の理解

手順

1. attackctiを使用して、対象の脅威グループのATT&CK STIXデータをクエリする
2. STIXの関係を介してグループに関連する手法を抽出する
3. 手法の注釈を含むATT&CK NavigatorレイヤーのJSONを生成する
4. 検出範囲を重ね合わせてギャップを特定する
5. チームレビューと防御計画のためにレイヤーをエクスポートする

期待される出力

{
  "name": "APT29 TTPs",
  "domain": "enterprise-attack",
  "techniques": [
    {"techniqueID": "T1566.001", "score": 1, "comment": "Spearphishing Attachment"},
    {"techniqueID": "T1059.001", "score": 1, "comment": "PowerShell"}
  ]
}