PHASR MITRE Grouping-ийг ашиглан халдлагын гадаргууг хэрхэн бууруулах вэ?

PHASR MITRE Grouping нь халдлагын векторуудыг MITRE ATT&CK framework-ийн дагуу бүлэглэн зохион байгуулдаг. Энэ нь PHASR-ийн хамралтыг тактик (tactics), техник (techniques), дэд техник (sub-techniques) бүрээр дээрээс доош нь бүтэцтэй харуулж, администраторт эрсдэлийг тодорхойлох, холбоотой халдлагын векторуудад хамгаалалтын шийдвэр гаргахад тусалдаг.

Энэ арга нь PHASR нь MITRE ATT&CK framework-д тодорхойлсон халдлагын техникүүдийг бууруулахад хэрхэн тусалж байгааг илүү тодорхой харуулна. Мөн энэ хуудсыг ашиглан тодорхой тактик, техник эсвэл дэд техниктэй холбоотой олон халдлагын векторын хандалтыг нэг дор удирдаж болно.

Early Access хөтөлбөрт хэрхэн элсэх вэ?

PHASR дахь MITRE grouping нь Early Access хөтөлбөрөөр дамжин ашиглагдана. Элсэхийн тулд:

1. 1GravityZone-д нэвтэрнэ.
2. 2Early Access таб руу орно.
3. 3PHASR MITRE grouping хөтөлбөрийг олоод хүснэгтийн доорх Enroll (Элсэх) товчийг дарна.
4. 4Баталгаажуулахын тулд Enroll-г сонгоно.

Хуудасны байрлал

PHASR MITRE Grouping хуудас руу Policies (Бодлого) > PHASR MITRE Grouping замаар орно.

Шүүлтүүрүүд

Хуудасны дээд хэсэгт харагдах өгөгдлийг дараах хэрэгслээр нарийвчилж болно:

• Company (Компани) сонгогч — мэдээллийг нь харахыг хүссэн компаниа сонгоно.
• Tactic name (Тактикийн нэр) шүүлтүүр — тодорхой MITRE тактикаар шүүнэ.
• Vector name (Векторын нэр) шүүлтүүр — тодорхой халдлагын векторээр шүүнэ.
• Reset filters (Шүүлтүүр цэвэрлэх) — хэрэглэсэн бүх шүүлтүүрийг арилгана.

Тойм

PHASR MITRE Grouping хуудас нь PHASR-ийн халдлагын векторуудыг MITRE ATT&CK framework-ийн дагуу шатлалаар зохион байгуулдаг:

• Tactics (Тактик) — халдагч хүрэхийг оролдож болох өндөр түвшний зорилго (жишээ нь Initial Access, Execution).
• Techniques (Техник) — халдагчид эдгээр зорилгод хүрэхэд ашиглаж болох аргууд.
• Sub-techniques (Дэд техник) — техникүүдийн илүү тодорхой хэрэгжилт.
• Attack vectors (Халдлагын вектор) — MITRE ATT&CK-ийн холбогдох техник, дэд техникүүдтэй харгалзуулсан, PHASR-ийн хянадаг үйл ажиллагаа, хэрэгслүүд.

Энэ бүтэц нь танд дараахыг хийх боломж олгоно:

• PHASR-ийн халдлагын векторууд MITRE ATT&CK-ийн тактик, техник, дэд техниктэй хэрхэн харгалзаж байгааг ойлгох.
• MITRE ATT&CK дээрх PHASR-ийн хамралтыг үнэлэх.
• Өндөр түвшний тактикаас тодорхой векторын түвшний мэдээлэл хүртэл нарийвчлан харах.
• PHASR халдлагын гадаргууг багасгахад тусалж чадах хэсгүүдийг тодорхойлох.
• Нэг тактик, техник эсвэл дэд техниктэй холбоотой олон халдлагын векторын хандалтыг нэг дор удирдах.

MITRE тактик, техник, дэд техникийн халдлагын гадаргууг хэрхэн бууруулах вэ?

MITRE тактик, техник эсвэл дэд техниктэй холбоотой халдлагын гадаргууг багасгахын тулд олон холбоотой халдлагын векторыг нэг дор удирдахыг хүсвэл PHASR MITRE Grouping-ийг ашиглана. MITRE тактикаас эхэлж, техник эсвэл дэд техник рүү хамрах хүрээгээ нарийсгаад, хандалтыг нь өөрчлөх халдлагын векторуудаа сонгож болно.

Тактик, техник эсвэл дэд техникийн халдлагын гадаргууг бууруулахын тулд:

1. 1PHASR MITRE Grouping хуудас руу орно.

2. 2Халдлагын гадаргууг нь бууруулахыг хүссэн MITRE тактикаа олно.

3. 3Хандалт засах урсгалыг нээнэ.

4. 4Заавал биш: тодорхой техник эсвэл дэд техникийн эсрэг халдлагын гадаргууг бууруулахыг хүсвэл нарийвчлан орж болно.

5. 5Засах урсгалыг эхлүүлэхээс өмнө MITRE тактик, техник эсвэл дэд техниктэй холбоотой халдлагын векторуудыг дэлгэрэнгүй (details) товчийг дарж харж болно.

6. 6Хандалтыг нь удирдахыг хүссэн халдлагын векторуудаа сонгоно.

> Тэмдэглэл: Зарим халдлагын вектор нэгээс олон MITRE тактиктай холбоотой байж болно. Ийм векторыг хязгаарлавал бусад холбогдох тактикийн халдлагын гадаргуу ч мөн багасна.

7. 7Details (Дэлгэрэнгүй) алхамд сонгосон халдлагын векторууд болон тэдгээрийн контекстийг шалгана. Жагсаалт таны өмнөх сонголтыг тусгах бөгөөд боломжтой шүүлтүүрээр шүүж болно. Халдлагын вектор бүрийн хувьд түүний trigger-үүд, чиглэсэн үйл ажиллагааны төрөл, хязгаарлаагүй болон хязгаарласан зан төлөвийн профайлууд, харгалзах MITRE тактик, техник, дэд техникүүдийг харж болно.

8. 8Next (Дараах) товчийг сонгоно.

9. 9Finalize (Дуусгах) алхамд Target type (Зорилтын төрөл)-ийг ашиглан хандалтын шийдвэрийг ямар түвшинд хэрэгжүүлэхээ сонгоно:

- Departments (Хэлтэс) — PHASR-ийн хянадаг зан төлөвийн профайлуудыг хэлтсээр бүлэглэнэ.
- Users (Хэрэглэгч) — PHASR-ийн хянадаг зан төлөвийн профайлуудыг хэрэглэгчээр бүлэглэнэ.
- Behavioral profiles (Зан төлөвийн профайл) — PHASR-ийн хянадаг зан төлөвийн профайл бүрийг тус тусад нь харуулна.

10. 10Удирдахыг хүссэн хэлтэс, хэрэглэгч эсвэл зан төлөвийн профайлаа олохын тулд боломжтой шүүлтүүрүүдийг ашиглана.

11. 11Одоогийн хязгаарлалтын төлөвийг (Restricted, Unrestricted эсвэл Custom) шалгаад шаардлагатай зорилтуудад Restrict (Хязгаарлах) эсвэл Do not restrict (Хязгаарлахгүй)-ийг сонгоно. Custom нь сонгосон зорилт нь хязгаарлалтын төлөв нь өөр өөр зан төлөвийн профайлуудыг агуулж байгааг илэрхийлнэ.

Шийдвэрийг мөр тус бүрт хэрэглэх эсвэл Apply to all (Бүгдэд хэрэглэх)-ийг ашиглаж болно. Хүснэгтийг шүүсэн үед энэ хэрэгсэл Apply to filtered (Шүүгдсэнд хэрэглэх) болж өөрчлөгдөж, шийдвэрийг зөвхөн шүүгдсэн үр дүнд хэрэглэнэ. Өөрчлөлтөө цуцалж, өмнөх хязгаарлалтын тохиргоог сэргээхийн тулд Revert changes (Өөрчлөлтийг буцаах)-ийг ашиглана.

12. 12Save (Хадгалах) товчийг сонгоно.

13. 13Apply changes? (Өөрчлөлтийг хэрэглэх үү?) цонхонд хязгаарлагдах, хязгаарлалт нь авагдах эсвэл өөрчлөгдөхгүй зан төлөвийн профайлуудын тоо, мөн нөлөөлөх хэлтэс, хэрэглэгчийн тоог шалгана.

14. 14Apply (Хэрэглэх) товчийг сонгоно.

Нэг л халдлагын векторын хандалтыг удирдахыг хүсвэл оронд нь **PHASR attack vectors** хуудсыг ашиглана.

Тактикийн харагдац

Үндсэн хуудас MITRE тактикуудын хүснэгт (grid) харуулна.

Тактик бүрийн картанд дараах мэдээлэл байна:

• Tactic name and ID (Тактикийн нэр ба ID) — жишээ нь Initial Access - TA0001.
• Coverage by PHASR (%) (PHASR-ийн хамрах хувь) — тактикийн хэдэн хувийг зан төлөвийн хязгаарлалт хамарч байгааг илэрхийлнэ.
• Behavioral profiles (Зан төлөвийн профайл) — хязгаарлагдсан эсвэл хязгаарлаагүй байж болно.
• Activity metrics (Үйл ажиллагааны үзүүлэлт) — зөвлөмж, халдлагын вектор, халдлагын векторын trigger-ийн тоо.
• Target activity types (Чиглэсэн үйл ажиллагааны төрөл) — жишээ нь Remote admin tools, Living off the land binaries, Piracy tools.
• View details (Дэлгэрэнгүй харах) үйлдэл.

Тактикийн дэлгэрэнгүй самбар

Тактик дээр View details-ийг сонгоход сонгосон тактикийн талаар дэлгэрэнгүй мэдээлэл бүхий хажуугийн самбар нээгдэнэ.

Үндсэн мэдээлэл:

• Coverage by PHASR (%)
• Тактикийн ID
• Чиглэсэн үйл ажиллагааны төрлүүд
• Платформын дэмжлэг (Windows, macOS)
• Халдлагын векторын тоо
• Зөвлөмжийн тоо
• Зан төлөвийн профайлын хуваарилалт
• Халдлагын векторын trigger-тэй холбоотой зөрчлүүд.

Observed activity (Ажигласан үйл ажиллагаа)

Таны орчинд зан төлөвийн профайл хэрхэн ашиглагдаж байгааг харуулна. Үүнд халдлагын векторыг ашигласан үйл ажиллагааны хувь, хэрэгслүүд бүрэн эсвэл хэсэгчлэн хяналтад байгаа эсэх талаарх мэдээлэл багтана.

Description (Тайлбар)

Тактикийн контекстийн тайлбар, түүний дотор халдагчид үүнийг ихэвчлэн хэрхэн ашигладаг талаарх мэдээлэл.

Техникийн харагдац

Тактик дотор техникүүд жагсаалтаар харагдана.

Техник бүрт дараах мэдээлэл байна:

• Техникийн нэр ба ID (жишээ нь Drive-by Compromise - T1189)
• Coverage by PHASR (%)
• Халдлагын векторын тоо
• Зөвлөмж
• Векторын trigger-үүд
• Платформд хамаарах байдал

Үйлдлүүд

• View attack vectors (Халдлагын векторуудыг харах)
• View details (Дэлгэрэнгүй харах)

Техникийн дэлгэрэнгүй самбар

Сонгосон техникийн талаар илүү гүнзгий мэдээлэл өгнө.

Энэ самбарт харагдах мэдээлэл:

• Техникийн ID
• Чиглэсэн үйл ажиллагааны төрлүүд
• Платформууд
• Халдлагын векторууд
• Зөвлөмжүүд
• Векторын trigger-үүд
• Зан төлөвийн профайлын хуваарилалт
• Халдлагын векторын trigger-тэй холбоотой зөрчлүүд

Description (Тайлбар)

Техникийн дэлгэрэнгүй тайлбар, ихэвчлэн MITRE ATT&CK-ийн тодорхойлолттой нийцсэн бөгөөд халдагчид үүнийг хэрхэн ашигладгийг тайлбарлана.

Дэд техник ба халдлагын векторууд

Хамгийн доод түвшинд техник эсвэл дэд техниктэй холбоотой халдлагын векторуудыг шалгаж болно. Энэ харагдацаас олон халдлагын векторыг сонгож, тэдгээрийн хандалтын шийдвэрийг нэг дор удирдаж болно.

Халдлагын вектор бүрт дараах мэдээлэл харагдана:

• Векторын нэр (жишээ нь Chflags.HiddenFile)
• Чиглэсэн үйл ажиллагааны төрөл
• Платформ
• Зөвлөмжүүд
• Векторын trigger-үүд

Халдлагын векторын дэлгэрэнгүй самбар

Халдлагын вектор дээр дарахад дараах мэдээлэлтэй хажуугийн самбар нээгдэнэ:

• Vector description (Векторын тайлбар) — ямар зан төлвийг ажиглаж эсвэл хязгаарлаж байгааг тайлбарлана.
• Чиглэсэн үйл ажиллагааны төрөл
• Платформ
• Векторын trigger хийгдсэн огноо
• Зөвлөмжүүд
• Зан төлөвийн профайлын ашиглалт
• Халдлагын вектортой холбоотой зөрчлүүд

Үндсэн ойлголтууд

Coverage by PHASR

PHASR-ийн хязгаарлалтууд тактик эсвэл техниктэй холбоотой зан төлөвийг хэр үр дүнтэй хамарч байгааг илэрхийлнэ.

• 0% coverage — идэвхтэй хязгаарлалт байхгүй.
• Partial coverage — зарим зан төлөвийг хязгаарласан.
• Full coverage (ховор) — холбогдох бүх зан төлөвийг хязгаарласан.

Зан төлөвийн профайлууд (Behavioral profiles)

• Unrestricted profiles — хэрэгжилтгүйгээр зөвшөөрөгдсөн зан төлөв.
• Restricted profiles — PHASR-ийн идэвхтэй хянаж буй зан төлөв.

Үйл ажиллагааны үзүүлэлтүүд (Activity metrics)

Халдлагын векторууд таны орчинд хэрхэн ажиллаж байгааг харуулна:

• Recommendations (Зөвлөмж) — аюулгүй байдлын төлөвийг сайжруулах санал болгож буй үйлдлүүд.
• Attack vector (Халдлагын вектор) — үйл ажиллагааг мөшгөдөг илрүүлэлтийн векторууд.
• Vector triggers — халдлагын векторууд хэдэн удаа идэвхжсэн тоо.

Навигацийн урсгал

Аюулгүй байдлын мэдээллийг бүтэцтэйгээр судалж болно:

1. 1Tactic түвшнээс эхэлнэ.
2. 2Techniques руу нарийвчлан орно.
3. 3Sub-techniques-ийг судална.
4. 4Attack vectors-ийг шинжилнэ.

Энэ дээрээс доош чиглэсэн навигаци нь халдагчийн зан төлвийг дууриадаг бөгөөд халдлагын гадаргууг бууруулахын тулд хамт удирдаж болох холбоотой халдлагын векторуудыг тодорхойлоход тусална.

Давуу талууд

PHASR MITRE Grouping нь харагдац, судалгааг дараах байдлаар сайжруулдаг:

• PHASR нь халдлагын векторуудыг MITRE ATT&CK-ийн тактик, техник, дэд техниктэй харгалзуулж, тэдгээртэй холбоотой халдлагын гадаргууг бууруулахад тусалдаг.
• Тактикаас халдлагын вектор хүртэл эхнээс нь дуустал харагдах байдал (end-to-end visibility) олгодог.
• Тодорхой MITRE тактикийн эсрэг халдлагын гадаргууд өртөх байдлыг тодруулдаг.
• Холбоотой олон халдлагын векторын хандалтыг нэг дор удирдах боломжийг олгодог.