ATT&CK ha aggiunto una quindicesima tattica: una guida pratica sul campo per il DFIR dedicata alla distinzione tra “Stealth” e “Defense Impairment”

Questo articolo fa parte di una serie in corso realizzata dagli specialisti di sicurezza operativa sul campo di Sophos, che condividono le competenze utilizzate per rafforzare il nostro servizio Managed Detection and Response (MDR), leader del settore, e proteggere i clienti dalle minacce in continua evoluzione dell’era dell’IA.

Se avete aperto di recente la matrice Enterprise ATT&CK, potreste aver dovuto guardare due volte. La familiare colonna Defense Evasion è scomparsa. Al suo posto si trovano ora due tattiche: Stealth (TA0005) e Defense Impairment (TA0112).

Il modello Enterprise comprende ora 15 tattiche anziché 14.

Si tratta di un cambiamento tassonomico sensato, ma che potrebbe avere ripercussioni sulla vostra detection engineering, sui playbook e sul modo in cui descrivete un’intrusione in un report. Qualsiasi contenuto precedentemente associato alla tattica Defense Evasion appartiene ora a una delle due fasi, caratterizzate da finalità differenti e, aspetto fondamentale per chi interviene in risposta agli incidenti, da tracce forensi differenti.

Il cambiamento è comprensibile alla luce delle tendenze attuali. Negli ultimi cicli, gli avversari hanno fatto un ricorso sempre maggiore a entrambe le tattiche: utilizzano tecniche living-off-the-land per rimanere silenziosi, per poi disabilitare in modo aggressivo la telemetria nel momento in cui hanno bisogno di maggiore libertà di movimento. Un framework che considera queste due attività come un’unica tattica rende facile investire troppo poco in una e riportare eccessivamente l’altra. La separazione impone una valutazione onesta di entrambe.

Di seguito mostrerò come le nuove categorie migliorino la chiarezza e proporrò una guida operativa fase per fase, con artefatti e strumenti che potete utilizzare già questa settimana per allinearvi alle nuove tattiche.

Continua a leggere l’articolo: https://www.sophos.com/en-us/blog/mitre-enterprise-attack-grew-15th-tactic-practical-dfir-field-guide