Оценивание защищенности гетерогенных инфраструктур на основе графов атак с использованием баз данных NVD и MITRE ATT & CK
Ключевые слова:
оценивание защищенности, инциденты кибербезопасности, корреляция событий, сигнатура, кибератака, граф атак, MITRE ATT&CK, National Vulnerability Database, анализатор целевых атак, индикаторы атаки, киберугроза.Аннотация
Введение: оценивание защищенности современных информационных систем является нетривиальной задачей. Такие системы объединяют различные объекты, «вещи», субъекты и связи между ними, при этом они постоянно меняются и генерируют большое количество событий. В результате постоянно меняется состояние защищенности системы. Цель: разработать подход к оценке защищенности гетерогенных информационных систем. Результаты: разработан подход к оцениванию защищенности, который включает сбор данных из различных открытых источников, предобработку журналов событий, обнаружение инцидентов безопасности, отображение инцидентов безопасности на узлы графа атак, оценивание и прогнозирование уровня защищенности и представление результатов. Новизна предложенного подхода заключается в разработанной методике отображения инцидентов на этапы целевых кибератак. Эта методика использует правила корреляции Emerging Threats для обнаружения инцидентов безопасности. Для отображения обнаруженных инцидентов безопасности на шаблоны атак из базы данных MITRE ATT & CK методика использует правила Targeted Attack Analyzer (Indicators оf Attack), которые описывают инциденты безопасности (сигнатуры) с использованием языка Sigma. Методика позволяет отобразить обнаруженные события на граф атак и оценить и спрогнозировать целевые кибератаки. Для генерации графа атак предлагается использовать шаблоны атак из MITRE ATT & CK и уязвимости из National Vulnerability Database (национальной базы уязвимостей). Предложенный подход реализован в рамках программного средства, написанного на языке Python. Для тестирования отображения обнаруженных инцидентов безопасности на известные шаблоны атак развернута тестовая среда. Практическая значимость: результаты исследования могут быть использованы при построении систем оценивания защищенности, которые направлены на повышение защищенности гетерогенных информационных систем от кибератак.
