위협 행위자 TTP를 MITRE Navigator로 분석

MITRE Navigator로 위협 행위자 TTP 분석하기

개요

MITRE ATT&CK Navigator는 ATT&CK 매트릭스에 주석을 달고 시각화하는 웹 애플리케이션입니다. attackcti Python 라이브러리(TAXII를 통해 ATT&CK STIX 데이터를 조회)와 결합하여, 분석가는 특정 위협 그룹 TTP를 매핑하는 Navigator 레이어 파일을 프로그래밍 방식으로 생성하고, 여러 그룹을 비교하며, 알려진 적군에 대한 탐지 커버리지 간극을 평가할 수 있습니다.

사용 시기

• MITRE Navigator로 위협 행위자 TTP를 분석해야 하는 보안 사고 조사 시
• 이 도메인에 대한 탐지 규칙 또는 위협 헌팅 쿼리를 구축할 때
• SOC 분석가가 이 분석 유형에 대한 구조화된 절차가 필요할 때
• 관련 공격 기법에 대한 보안 모니터링 커버리지를 검증할 때

전제 조건

• attackcti 및 stix2 라이브러리가 설치된 Python 3.8+
• MITRE ATT&CK Navigator(웹 UI 또는 로컬 인스턴스)
• STIX 2.1 객체 및 관계에 대한 이해

단계

1. attackcti를 사용하여 대상 위협 그룹에 대한 ATT&CK STIX 데이터 조회
2. STIX 관계를 통해 그룹과 연관된 기법 추출
3. 기법 주석이 포함된 ATT&CK Navigator 레이어 JSON 생성
4. 탐지 커버리지를 오버레이하여 간극 식별
5. 팀 검토 및 방어 계획을 위해 레이어 내보내기

예상 출력

{
  "name": "APT29 TTPs",
  "domain": "enterprise-attack",
  "techniques": [
    {"techniqueID": "T1566.001", "score": 1, "comment": "Spearphishing Attachment"},
    {"techniqueID": "T1059.001", "score": 1, "comment": "PowerShell"}
  ]
}