MITRE ATT&CK Evaluations (APT29)の個人的な結果検証　その４ | reverse-eg-mal-memoのブログ
Amebaホームピグアメブロ
芸能人ブログ人気ブログ
新規登録
ログイン

reverse-eg-mal-memoのブログ

サイバーセキュリティに関して、あれこれとメモするという、チラシの裏的存在。
medium(英語):https://sachiel-archangel.medium.com/

MITRE ATT&CK Evaluations (APT29)の個人的な結果検証　その４

「検知」を基準としたシナリオベースの評価マトリックス

 

作成したルールで作った評価表が以下となります。

*表の幅の都合上、ソリューション名を略しています。

*略は下を参照

 

シナリオ１：

 

    CC SO FE PA Sw CS Cr CB TM Sy FS Cl Ka MA Mb MS Bd El GS HS RQ
初期侵害 1.A.1 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 △ 〇 〇 〇 △ △ 〇
1.A.2 〇 〇 〇 〇 〇 〇 〇 △ 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 ×
1.A.3 〇 〇 〇 〇 〇 〇 △ 〇 〇 〇 〇 〇 △ 〇 × 〇 △ △ 〇 △ 〇
1.A.4 × × 〇 × × × × × × × × × × × × × × × × × ×
1.B.1 〇 〇 〇 〇 〇 △ 〇 〇 〇 △ 〇 〇 〇 △ △ △ △ 〇 〇 〇 △
1.B.2 〇 〇 〇 〇 〇 〇 〇 〇 △ 〇 △ 〇 〇 〇 △ △ 〇 〇 〇 〇 〇
速やかな情報収集および流出 2.A.1 〇 〇 〇 〇 〇 △ 〇 〇 〇 〇 〇 〇 × × × 〇 〇 △ 〇 △ △
2.A.2 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 × × × 〇 △ △ 〇 △ △
2.A.3 × 〇 × 〇 × △ 〇 × △ × × × × × × × △ △ 〇 × △
2.A.4 〇 〇 〇 〇 〇 △ 〇 〇 〇 〇 〇 〇 〇 × △ 〇 〇 〇 〇 〇 △
2.A.5 × 〇 〇 〇 × △ 〇 〇 〇 △ △ △ 〇 △ 〇 〇 △ 〇 〇 × △
2.B.1 × 〇 × 〇 × △ △ × △ × × × × × × × △ △ △ × ×
ステルスなツールキットの配布 3.A.1 × 〇 〇 〇 × △ △ △ △ △ 〇 △ △ △ △ 〇 △ △ 〇 △ △
3.A.2 〇 〇 〇 〇 〇 〇 〇 〇 △ 〇 〇 △ 〇 〇 △ 〇 〇 △ 〇 △ △
3.B.1 〇 〇 〇 〇 〇 △ 〇 〇 〇 △ 〇 △ 〇 △ × 〇 △ 〇 〇 △ △
3.B.2 〇 〇 〇 〇 〇 〇 〇 〇 △ △ 〇 × 〇 △ × 〇 〇 △ 〇 〇 〇
3.B.3 〇 〇 〇 〇 〇 〇 △ △ 〇 〇 △ 〇 〇 △ × 〇 △ 〇 〇 △ 〇
3.B.4 × 〇 × × 〇 × × × 〇 〇 △ × × × × 〇 △ × × × ×
3.B.5 × 〇 × × × × × × 〇 〇 △ × × × × 〇 △ × × × ×
3.C.1 〇 〇 〇 〇 〇 △ × △ 〇 △ 〇 △ × × × 〇 △ △ △ △ △
防衛の回避および環境調査 4.A.1 × 〇 〇 〇 〇 △ △ 〇 〇 △ 〇 △ 〇 △ 〇 △ △ △ 〇 〇 〇
4.A.2 〇 〇 〇 〇 △ △ 〇 △ △ 〇 〇 △ 〇 〇 △ △ △ 〇 〇 △ △
4.A.3 〇 〇 〇 〇 〇 △ △ 〇 〇 〇 〇 △ 〇 △ △ △ 〇 △ △ 〇 △
4.B.1 〇 〇 〇 〇 〇 △ × △ 〇 〇 △ 〇 × × × 〇 〇 △ × 〇 △
4.B.2 〇 〇 〇 〇 〇 〇 △ 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 △ 〇 〇 〇
4.B.3 〇 〇 〇 〇 〇 △ △ 〇 〇 〇 〇 〇 〇 〇 〇 〇 △ △ 〇 〇 〇
4.B.4 〇 〇 〇 〇 〇 △ △ 〇 〇 〇 〇 〇 〇 〇 〇 〇 △ △ 〇 〇 〇
4.C.1 〇 〇 〇 △ 〇 △ × × 〇 〇 △ 〇 × × × △ × △ × △ △
4.C.2 〇 〇 〇 △ 〇 △ 〇 × 〇 〇 △ 〇 × × × △ × △ × △ △
4.C.3 〇 〇 〇 △ 〇 △ × × 〇 〇 △ 〇 × × × △ × △ × △ △
4.C.4 〇 〇 〇 △ 〇 △ × × 〇 〇 △ 〇 × × × △ × △ × △ △
4.C.5 〇 〇 〇 △ 〇 △ × × 〇 〇 △ 〇 × × × △ × △ × △ △
4.C.6 〇 〇 〇 〇 〇 △ × × 〇 〇 〇 〇 × × × △ × 〇 × 〇 △
4.C.7 〇 〇 〇 〇 〇 △ 〇 × 〇 〇 〇 〇 × × × △ 〇 〇 × △ △
4.C.8 〇 〇 〇 〇 〇 〇 〇 × 〇 〇 〇 〇 × × × △ × 〇 × △ △
4.C.9 〇 × 〇 〇 △ △ 〇 × △ 〇 △ × × × × 〇 × △ × △ △
4.C.10 〇 × 〇 △ △ △ 〇 × × × △ × × × × △ 〇 △ × △ △
4.C.11 〇 × 〇 △ △ △ 〇 × △ 〇 △ × × × × 〇 × △ × △ △
4.C.12 〇 × 〇 △ △ △ 〇 × × × △ × × × × △ 〇 △ × △ △
永続化 5.A.1 〇 〇 〇 △ 〇 △ △ × 〇 〇 〇 〇 〇 〇 × 〇 〇 〇 〇 〇 ×
5.B.1 〇 〇 〇 〇 〇 △ 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 △
認証情報へのアクセス 6.A.1 × 〇 × 〇 〇 △ △ × 〇 × × × × × × 〇 〇 〇 △ × △
6.A.2 × × 〇 × × × × 〇 × × × × × × × 〇 × × 〇 × ×
6.A.3 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 △ 〇 〇 △ 〇 △ 〇 △ △ △
6.B.1 × △ 〇 〇 × × △ 〇 〇 〇 × 〇 △ 〇 △ 〇 〇 〇 〇 △ △
6.C.1 〇 〇 〇 〇 〇 〇 〇 △ 〇 〇 △ 〇 × 〇 × 〇 〇 〇 〇 × 〇
情報収集および流出 7.A.1 〇 〇 〇 〇 〇 △ × 〇 〇 〇 〇 △ 〇 × × 〇 〇 〇 〇 △ △
7.A.2 〇 〇 〇 〇 〇 △ × 〇 〇 〇 △ 〇 × × × 〇 〇 〇 × 〇 △
7.A.3 〇 〇 〇 〇 〇 〇 × 〇 〇 〇 〇 △ 〇 〇 × 〇 △ 〇 × 〇 △
7.B.1 × 〇 × 〇 × △ △ × 〇 × × × × × × × 〇 × △ × △
7.B.2 × 〇 〇 〇 × △ △ △ 〇 〇 × △ 〇 △ △ △ 〇 △ 〇 〇 △
7.B.3 〇 〇 〇 × 〇 △ × × 〇 〇 〇 △ × × × △ × △ × △ △
7.B.4 〇 〇 〇 〇 〇 〇 △ △ 〇 〇 〇 〇 〇 〇 × △ 〇 △ △ △ △
水平展開 8.A.1 〇 〇 〇 △ 〇 △ × △ 〇 〇 △ 〇 △ △ × 〇 △ △ △ △ △
8.A.2 × 〇 〇 〇 〇 △ 〇 〇 〇 △ 〇 〇 〇 △ × △ 〇 〇 〇 〇 △
8.A.3 〇 〇 〇 〇 〇 △ 〇 △ 〇 〇 〇 〇 × × × △ 〇 △ × 〇 △
8.B.1 〇 〇 〇 〇 × △ △ △ 〇 〇 〇 〇 〇 △ 〇 △ 〇 〇 〇 △ ×
8.B.2 〇 〇 〇 〇 〇 〇 〇 × 〇 〇 × △ × × × 〇 〇 × × × ×
8.C.1 〇 〇 〇 × △ △ △ × 〇 〇 〇 △ 〇 △ × △ × △ 〇 〇 △
8.C.2 〇 〇 〇 〇 〇 〇 △ △ 〇 △ △ 〇 〇 △ 〇 △ 〇 △ 〇 〇 △
8.C.3 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 〇 △ 〇 △ × △ 〇 〇 〇 △ △
情報収集（リモート） 9.A.1 × 〇 〇 〇 × △ △ △ △ 〇 〇 △ 〇 △ × 〇 △ △ △ △ △
9.A.2 × 〇 〇 〇 × △ △ △ △ 〇 〇 △ 〇 △ × 〇 △ △ △ △ △
9.B.1 〇 〇 〇 〇 〇 △ △ 〇 △ 〇 △ 〇 〇 △ × 〇 △ 〇 〇 △ △
9.B.2 〇 〇 〇 〇 〇 △ 〇 △ 〇 〇 〇 〇 × × × △ 〇 △ × △ △
9.B.3 〇 〇 〇 〇 〇 〇 〇 △ 〇 〇 〇 〇 × × × △ △ △ × △ △
9.B.4 × 〇 × 〇 × × △ × △ × × × × × × × × △ 〇 × △
9.B.5 × 〇 〇 〇 × △ △ △ 〇 △ 〇 〇 〇 △ × 〇 △ △ △ × △
9.B.6 〇 〇 〇 〇 〇 △ △ △ 〇 〇 〇 〇 〇 △ × 〇 〇 〇 〇 △ △
9.B.7 〇 〇 〇 〇 〇 〇 △ 〇 〇 〇 〇 〇 〇 △ × 〇 〇 〇 〇 〇 〇
9.B.8 × 〇 × △ × × △ × △ × × × × × × × △ △ 〇 × ×
9.C.1 〇 〇 〇 〇 〇 △ △ 〇 〇 〇 〇 〇 △ 〇 × 〇 △ 〇 〇 〇 〇
9.C.2 〇 〇 〇 〇 〇 △ △ 〇 〇 〇 〇 〇 △ 〇 × 〇 △ △ 〇 〇 〇
9.C.3 〇 〇 〇 〇 〇 △ △ 〇 〇 〇 〇 〇 △ 〇 × 〇 〇 〇 〇 〇 〇
9.C.4 × 〇 × 〇 × △ △ 〇 × △ 〇 △ × △ × × × 〇 △ × 〇
永続化処理の実行 10.A.1 〇 〇 × × △ × × △ 〇 × × × 〇 × × × × × × × △
10.B.1 × 〇 × 〇 △ △ 〇 × 〇 × × × × × × × × × × × ×
10.B.2 × × × 〇 × × × × 〇 × × × × × × × 〇 △ × × ×
10.B.3 〇 〇 × 〇 × △ 〇 × 〇 △ × × × × × × 〇 △ × × ×

 

ソリューション略称

CC:CyCraft
SO:SentinelOne
FE:FireEye
PA:Palo Alto Networks
Sw:Secureworks
CS:CrowdStrike
Cr:Cybereason
CB:VMware Carbon Black
TM:Trend Micro
Sy:Symantec
FS:F-Secure
Cl:Blackberry Cylance
Ka:Kaspersky
MA:McAfee
Mb:Malwarebytes
MS:Microsoft
Bd:Bitdefender
El:Elastic
GS:GoSecure
HS:HanSight
RQ:ReaQta