从MITRE ATT&CK和D3FEND框架视角看采用零信任的优势
作者：Mudit Tyagi和Ken Arora
网络攻击者会扫描目标组织的网络和应用，即其 数字攻击面，以策划多阶段攻击，综合运用多种技术和流程，利用已发现的漏洞和零日漏洞。本文探讨企业必须防范的几类威胁，并重点说明如何运用零信任原则，提高遏制攻击者活动所造成损害的可能性。随后，我们将简要介绍MITRE ATT&CK框架中定义的攻击者战术、技术和流程。最后，我们将讨论MITRE D3FEND框架，并将其与零信任原则进行映射。
什么是攻击面？
美国国家标准与技术研究院（NIST）在其计算机安全资源中心（CSRC）术语表中对“攻击面”作出了抽象定义：“系统、系统元素或环境边界上的一组点，攻击者可尝试通过这些点进入该系统、系统元素或环境，对其造成影响，或从中提取数据。”
理解“攻击面”的另一种方式，是考虑数字环境中各个组件上潜藏的所有已知和未知漏洞。这些组件包括但不限于：
- 物理和虚拟网络、计算及存储资产
- 虚拟机监控程序、虚拟机、容器编排系统、服务网格
- 在这些资产上运行的软件，例如固件、操作系统、数据库管理软件和应用软件
- 容器镜像仓库、虚拟机镜像仓库、代码仓库
- 内部和外部API、微服务端点、应用门户
- 本地环境之外但在本地使用的服务，例如身份验证服务、时间服务器和远程数据存储
- 身份信息存储库、用户账户数据库、业务数据存储库
了解威胁类别
为尽可能降低业务风险，组织必须保护自身的数字资产和知识产权，以及客户和员工的隐私，同时满足所有监管合规要求。在此过程中，还必须确保业务工作流和数字体验持续可用且可靠。应对这一挑战的方法是遵循零信任原则：采用最小权限、明确验证、持续评估，并假定已发生入侵。1 通过这种方式，组织可以应对多种不同类别的威胁，具体将在以下各节中讨论。
数据威胁
数据是现代数字化企业的命脉，因此，攻击者往往受巨大利益驱使，企图窃取组织的数据。数据一旦被盗，便可能在暗网上出售，并被其他方用于进一步侵害数据所有者。组织还可能遭受勒索软件攻击。攻击者会通过就地加密数据或将数据从组织的基础设施中彻底删除，使其无法使用。随后，攻击者会要求受害者支付一笔“赎金”，以换取恢复数据。第三类数据攻击通常由蓄意破坏者实施，他们会暗中篡改数据，进而扰乱业务流程以及依赖这些数据的数字体验。
泄露
当攻击者未经所有者同意访问机密信息时，就会发生数据泄露或数据泄密。除了影响知识产权外，此类攻击还经常损害品牌并导致信任流失。法律要求遭遇数据泄露的组织报告任何涉及个人身份信息的数据丢失事件。网络钓鱼、利用面向公众的应用程序中的漏洞以及通过供应链入侵，都是渗透数据存储所在数字环境的常见方法。
近期一个引人关注的案例是SolarWinds供应链攻击，2 攻击者利用该攻击渗透了数千家企业和政府机构。通过在数字基础设施中建立持久驻留，这一初始访问为后续攻击利用步骤提供了跳板，使攻击者能够在受害者的多个应用和网络之间横向移动。最终，这些策略帮助攻击者实现其最终目标，即窃取凭据和密码，并将受害者的数据外传。
勒索软件
针对数据的另一种攻击形式是“勒索软件”攻击。黑客会部署恶意软件，干扰甚至完全阻断关键业务流程。最常见的情况是，重要业务数据遭到加密或删除，导致关键工作流中断。有时，身份认证数据存储中的数据也会遭到加密或删除，致使合法用户完全无法访问系统。攻击者只有在收到“赎金”后，才会恢复系统访问权限或解密数据。2021年5月，一次勒索软件攻击导致Colonial Pipeline瘫痪，3 该公司负责向美国东南部输送汽油和航空燃油。
静默数据损坏
一些攻击者会采用更隐蔽的数据攻击手法。这些经验丰富的攻击者不会窃取数据或使其不可用，而是对受害组织的原位数据进行少量、精准的篡改，并通过应用正常的外部业务流程从中获利。例如，提高航空公司折扣座位的比例；操纵库存供应数据库，使在售商品数量看起来比实际更多或更少；或在电商网站上添加特殊折扣码。这些“隐蔽”篡改通常很难在造成损失前被发现。攻击者利用受害组织自身的业务流程从中牟利。
基础设施资源威胁
黑客发起攻击，消耗网络和计算基础设施中的资源，导致业务流程停滞或运行效率低下。此类攻击的目的各不相同，包括损害目标组织的品牌、勒索钱财，或实现特定业务结果，例如使在线票务销售无法使用。此外，高级攻击者在同时实施更复杂攻击的其他步骤时，往往会利用此类攻击作为掩护。
DDoS
攻击者利用僵尸网络将攻击流量导向目标资源，发起分布式拒绝服务（DDoS）攻击。流量型DDoS攻击通过大量流量淹没目标网络，耗尽所有可用带宽。协议型DDoS攻击会发送特制流量，填满防火墙等有状态网络设备的连接表，导致合法连接被丢弃。应用层DDoS攻击则通过非法请求消耗服务器资源。
CPU窃取
攻击者可以在未经授权的情况下访问计算资源，利用这些资源执行计算，并将结果回传至命令与控制服务器。最常见的目的是在计算机所有者不知情的情况下，在后台运行加密货币挖矿代码。网络钓鱼和路过式下载是攻击者在计算机上部署加密货币挖矿代码的常用方法。攻击者利用MITRE ATT&CK横向移动战术扩大窃取的CPU容量，并利用持久化战术维持其执行未经授权计算的能力。
业务威胁
恶意行为者通过滥用预期的工作流程或用户体验，对组织造成损害。这些威胁可能导致收入损失、品牌声誉受损，并增加应对欺诈的运营成本。
业务资源耗尽
黑客为谋取个人利益，利用合法的业务流程损害组织。例如，他们可能使用自动化工具大量购买热门活动的门票，导致其他人无法购票，然后再加价转售。
商业智能
业务信息可能会从组织的公开网站被抓取，或从内部系统被窃取，随后被用于损害该组织利益。例如，竞争对手可能会抓取价格信息，并通过降低自身价格来吸引客户转投其产品或服务。
品牌攻击
黑客可以修改面向公众的网站内容并篡改其页面，使组织陷入尴尬。他们还可以更改网站内容，向用户提供错误信息。
商业欺诈
欺诈者会设法冒充其他用户进行金融交易，从中获利。他们利用窃取的凭据接管账户，或诱骗毫无戒心的用户访问与常用网站相似的虚假网站，进而泄露账户凭据。此类欺诈通常发生在电子商务网站或金融机构门户上。在新冠疫情期间，许多欺诈者实施失业救济欺诈，利用窃取的身份信息提交虚假失业救济申请，并将救济金转给自己。4
MITRE ATT&CK框架
对组织发起威胁的持续性攻击者往往耐心、有组织且技术娴熟。为造成危害，攻击者必须实现多个战术目标，例如收集情报、获取初始访问权限、建立立足点、窃取信息和渗出数据等。MITRE ATT&CK框架5 列出了战术目标、实现这些战术目标的技术，以及实施这些技术的过程。防御人员可以使用该框架，将任何攻击分解为一组战术、技术和过程（TTP）。相关内容可在MITRE ATT&CK框架网站（https://attack.mitre.org/matrices/enterprise）上查看。需要指出的是，对于每项战术及其相关技术，在整个数字环境中遵循零信任原则，可以降低攻击者得手的可能性，并提高及早检测到其活动的可能性，如图1所示。
MITRE D3FEND框架遵循零信任原则
The D3FEND框架提供了一个对策知识库和知识图谱，其中“包含语义严谨的类型和关系，既定义了网络安全对策领域的关键概念，也定义了将这些概念相互关联所需的关系”。7该框架有助于安全从业人员评估需要哪些能力，才能防御与其数字环境相关的威胁。
此外，还可以通过评估执行D3FEND框架所列相关对策的能力，从应对MITRE ATT&CK框架中各种TTP的准备程度来考量安全风险。这两个框架通过“数字制品”这一抽象概念相互关联。攻击者采用一组TTP实施攻击时，其活动会产生可观察的数字制品。D3FEND框架可帮助从业人员明确如何查找攻击者活动产生的数字制品，并制定可执行的防御计划。
如图2所示，MITRE D3FEND中的各类对策与基于零信任原则的零信任安全技术之间存在清晰的对应关系。
结论
在由互联数字化企业构成的广泛生态系统中，移动办公人员和客户群体不断扩大。企业希望面向更多样化的目标客户（包括人类用户和智能设备）提供更丰富的互动体验，这一需求正推动着当今应用和数字体验的发展。与此同时，企业对敏捷性和效率的要求不断提高，促使应用架构更多地采用开源和SaaS组件。因此，如今的核心应用比以往任何时候都更加依赖层次更深、可控性更低的基础设施。现代业务需求增加了应用架构的复杂性，暴露出范围更广、变化更快的威胁面，而资金更充足、动机更强的复杂攻击者正利用这些威胁面发起攻击。
MITRE ATT&CK框架为恶意行为者用来构成复杂攻击的战术、技术和程序提供了一套系统化的命名体系。MITRE D3FEND框架定义了一个由对策组成的知识图谱，组织可利用该图谱检测攻击所用TTP产生的可观测数字痕迹。MITRE D3FEND对策可与多项零信任原则相关联，遵循这些原则可提高具体对策实施机制的有效性。
资源
1 https://www.f5.com/services/resources/white-papers/why-zero-trust-matters-for-more-than-just-access
2 https://en.wikipedia.org/wiki/2020_United_States_federal_government_data_breach
3 https://en.wikipedia.org/wiki/Colonial_Pipeline_ransomware_attack
4 https://www.f5.com/company/blog/unemployment-fraud-covid-19
5 https://attack.mitre.org/matrices/enterprise