فرانسيس غوبرنو، مهندس أبحاث العدو في AttackIQ – سلسلة المقابلات

فرانسيس غوبرنو هو مهندس أبحاث عدو أول في فريق أبحاث العدو (ART) في AttackIQ. يقوم فرانسيس بإجراء أبحاث وتحليلات تهديدات متعمقة لتصميم وإنشاء محاكاة عدو متقدمة وواقعية. كما ينسق مشروع استخبارات التهديدات السيبرانية (CTI) ، الذي يركز على البحث والتحليل وتتبع وتوثيق الأعداء وعائلات البرامج الضارة وحوادث الأمن السيبراني. يمتلك فرانسيس خبرة واسعة في استخبارات الأعداء ، التي تشمل كل من التهديدات التي تتمثل في الدول والجرائم ، بالإضافة إلى تقييم وتحليل الثغرات الأمنية ، بعد عمله السابق في Deloitte و BNP Paribas.

AttackIQ هي شركة أمن سيبراني تمكن المنظمات من الخروج من افتراضاتها حول دفاعاتها إلى التحقق المستمر والمستند إلى البيانات. من خلال محاكاة تكتيكات الأعداء باستخدام نموذج MITRE ATT&CK وتنفيذ اختبارات آلية ومأمونة للإنتاج عبر بيئات السحابة والهجينة والموجودة في الموقع ، تساعد الشركة على الكشف عن فجوات الأمن في التحكم والعمليات والأشخاص – مما يتيح للقادة تقديم الأولوية للإصلاح وتبرير الاستثمارات وانتقال من الاستجابة الفعلية للأمن السيبراني إلى الصلابة الوقائية.

كيف أصبحت جزءًا من مجال الأمن السيبراني ، ولماذا اخترت التخصص في استخبارات التهديدات السيبرانية؟ كيف شكلت CTI فهمك لكيفية تطور التهديدات عبر كل من البيئات الحكومية والجريمة؟

لم يكن مساري إلى الأمن السيبراني مخططًا له؛ حدث ذلك بفضل الفرصة وليس التصميم. بدأ عندما انضممت إلى منظمة أمن سيبراني ناضجة ، حيث عملت في两个 مجال رئيسي: تقييم الثغرات وتحليل الثغرات ، واستخبارات التهديدات السيبرانية (CTI). من خلال إدارة الثغرات ، اكتسبت منظور مدافع – حيث أ đảmنت أن الأنظمة كانت محتفظ بها بشكل صحيح ومحدثة ومقاومة للهجمات. في CTI ، اعتمدت منظور المهاجم – حيث قمت بتحليل دوافعه وأهدافه وقدراته. هذا هو المكان الذي أصبحت فيه على دراية عميقة بإطار عمل MITRE ATT&CK ، الذي استخدمته لتوثيق تكتيكات وطرق وإجراءات الأعداء ووضع كشوفهم التشغيلية.

أعطاني هذا الخبرة المزدوجة فهمًا شاملاً لكيفية تفاعل المدافعين والمهاجمين داخل نظام بيئي يتطور باستمرار. أصبحت CTI سريعًا شغفي الشخصي. الغرض الاستراتيجي لفهم كيفية عمل الأعداء وتطورهم وتأثيرهم على بعضهم البعض بدا وكأنه مسار مسبق. أنا ممتن لأنني أستمر في العمل داخل هذا التخصص ، حيث أراقب وآنا تعقيدات المناظر الطبيعية العالمية للتهديدات ، حيث تتأثر الأعداء الرعاية للدولة والجريمة بشكل متزايد وتشكل بعضها البعض وتؤثر على عملياتها.

عندما نظرنا إلى الوراء ، ما هو المشروع أو الخبرة التي أصبحت نقطة تحول في مسيرتك المهنية وشكلت منظورك في الأمن السيبراني؟

كانت هناك لحظة حاسمة عندما بدأت أبحاث وتوثيق تكتيكات وطرق البرامج الضارة لاكتشاف وتجنب البيئات المحكومة. أصبحت هذه الجهود أساسًا لمشروع “الوعي بالبيئة” ، وهو بحث قمت به مع زميلي وصديقي آيلين توريلو ، مع الذي لدي الآن الفرصة للعمل جنبًا إلى جنب في AttackIQ. ركز بحثنا على توثيق الطرق المختلفة التي يستخدمها الأعداء للتعرف على تجنب البيئات المخادعة أو الافتراضية ، مما يسمح لهم بالبقاء غير محدد خلال التحليل الآلي. تم تبني الورقة البيضاء الناتجة لاحقًا كأساس للتقنية “T1497 – تجنب التخادع / المخادع” في إطار عمل MITRE ATT&CK.

خلال هذه التحقيق ، شهدت التطور المستمر للأعداء ، مع تحول حمولتهم لتصبح متقدمة ومتطورة بشكل متزايد ، وزيادة قدرتهم على تجنب أنظمة الكشف الآلية ، مما يعزز فرصهم في اختراق أهداف حقيقية بنجاح. شكلت هذه التجربة بشكل أساسي فهمي لتعديل الأعداء ودورة الابتكار المستمر التي تحدد التهديدات الحديثة.

منذ انضمامك إلى AttackIQ في عام 2021 كمهندس أبحاث عدو وقائد إنشاء مبادرة استخبارات التهديدات السيبرانية ، كيف تطور مسؤولياتك ، وكيف تتوازن إدارة مشروع CTI ، والأبحاث الاستراتيجية ، وتنمية محاكاة الأعداء؟

كان بناء برنامج استخبارات التهديدات السيبرانية (CTI) في AttackIQ مهمة معقدة. كنا بحاجة إلى تحقيق الرؤية عبر طيف واسع من التهديدات بسرعة. كشركة خدمات ، لم يكن تركيزنا مقصورًا على قطاع أو منطقة أو دولة معينة. بدلاً من ذلك ، كنا بحاجة إلى قاعدة معرفة تشمل كل من الأعداء ، من الرعاية للدولة إلى مجموعات الجريمة ، والبرامج الضارة ، من البرامج الضارة الشائعة إلى العائلات المخصصة. بمجرد إنشاء الأساس ، بدأنا في التركيز على ما أسميه “الوزن الثقيل”: الكيانات ذات التأثير العالي والتي تؤثر على عدة قطاعات ومناطق وبلدان. هذا النهج يسمح لنا بالتركيز على التهديدات الأكثر صلة لعملائنا.

نظرًا لسرعة مناظر التهديد ، فإن توازن جمع المعلومات الاستخبارية وتحليل التهديدات ومحاكاة الأعداء معقد بشكل固有. كل نوع من محاكاة الأعداء يقدم تحديات مختلفة. من ناحية ، تكون محاكاة الدولة متقدمة بشكل عام ، مخصصة لأهداف محددة ، وتتميز بأوقات إقامة مطولة وتحفزها دوافع سياسية. إعادة إنتاج سلوكها يتطلب تحليلًا عميقًا وصبرًا ودقة ، مما يجعلهم تحديًا فكريًا ومكافئًا لمحاكاته. من ناحية أخرى ، تكون محاكاة الجريمة سريعة وتحمل فرصًا. هذه الأعداء يقدمون تقنيات جديدة ، يعملون مع أوقات إقامة أقصر ، وغالبًا ما يؤثرون على عدة قطاعات ومناطق. استخدامهم لأدوات مشتركة ومخادعة وبرامج ضارة شائعة ، مع تكتيكات وطرق متداخلة عبر المجموعات ، يجعل كشوفهم الديناميكي والمثير للاهتمام لإعادة إنتاجها.

تحقيق التوازن الصحيح هو عملية استراتيجية. ننسق أولويات البحث ومحاكاة الأعداء مع متطلبات العملاء والتطورات العالمية ، بما في ذلك التوترات الجيوسياسية والثغرات الأمنية الحرجة الجديدة والتنبيهات من المنظمات الدولية مثل وكالة الأمن السيبراني والبنية التحتية (CISA) ومركز الأمن السيبراني الوطني (NCSC). في النهاية ، هذا العمل هو جهد جماعي. فريق أبحاث الأعداء (ART) يتكون من أفراد موهوبين بشكل استثنائي ، وهم يساهمون في جعل المحاكاة الواقعية والأمن ممكنة. CTI هو فقط جزء من العملية ؛ تحويل الاستخبارات إلى محاكاة خاضعة للسيطرة هو تحدي معقد يتطلب التعاون والدقة والالتزام المشترك.

في فريق أبحاث الأعداء في AttackIQ ، كيف يتم هيكلة البحث وتحديد الأولويات ، وما هي التحديات الأكثر أهمية في ترجمة رؤى استخبارات التهديدات إلى محاكاة أعداء قابلة للتنفيذ؟

تؤثر عدة عوامل على كيفية تحديد أولويات البحث في فريق أبحاث الأعداء في AttackIQ. التركيز الرئيسي هو على محاكاة الأعداء الذين يشكلون أكبر خطر على أكبر قسم من عملائنا ، مما يضمن أن تكون الموارد محسنة ومُركَزة نحو التهديدات ذات التأثير الواسع قبل معالجة التهديدات المحددة.

يتضمن هذا النطاق كل من الأعداء وعائلات البرامج الضارة المرصودة في البرية. نتابع باستمرار مجموعة واسعة من الكيانات ، مع تحديد الأولويات بواسطة الحاجة التشغيلية بدلاً من التوجيهات الوصفية. التهديدات الناشئة غالبًا ما تؤدي إلى إعادة تقديم الأولويات السريعة. التوترات الجيوسياسية المتزايدة ، وزيادة التقارير حول ثغرة حرجة معينة ، أو التوجيهات المركزة لمراكز الإخطار بالحوادث والاستجابة لها (CERT) ترفع بسرعة المواضيع إلى أعلى قائمة الانتظار.

واحدة من تحدياتنا الرئيسية هي الحفاظ على الأولوية المستمرة وتنسيق الموارد لتقديم محاكاة متقدمة وواقعية مع ضمان الكفاءة والتناسب عبر دورات التطوير. نضع تركيزًا قويًا على تطوير السلوكيات الواسعة القابلة لإعادة الاستخدام. من خلال تحديد التوافقات عبر الأعداء وعائلات البرامج الضارة ، نركز على تكرار التقنيات والإجراءات التي تظهر بشكل متسق عبر عدة كشوف. يمكن بعد ذلك تعديلها وتكاملها في محاكاة أخرى ، مما يتيح المزيد من المرونة والتناسب. هذا النهج يسمح لنا بتحديد الأولويات للسلوكيات التي تتمتع بقيمة عالية من إعادة الاستخدام والصلة التشغيلية بدلاً من الاستثمار بشكل كبير في التنفيذات الضيقة.

في بحثك الأخير RomCom ، ما كانت النقاط الرئيسية التي أثرت على تحولها من بوابة خلفية أساسية إلى منصة متعددة الاستخدامات تدعم كل من التجسس وابتزاز الأموال؟ تحت أي ظروف تنتقل البرامج الضارة من حمولة مستقلة إلى منصة كاملة؟

حالة RomCom هي خاصة لأنها ظهرت لأول مرة في مايو 2022 كبوابة خلفية بسيطة مصممة في الغالب للوصول عن بُعد واختراق البيانات الأساسية. حدثت النقطة الرئيسية الأولى بعد شهر فقط مع إصدار RomCom 2.0 ، الذي أدخل تحسينات كبيرة عكست أداة أكثر نضجًا ومتجهة نحو التخفي ، مُحسنة لعمليات التجسس ومدة الإقامة الطويلة. هذه التحديثات حسنت بشكل كبير قدرات جمع البيانات واختراقها ، مما يشير إلى تحول واضح نحو حالة استخدام استراتيجية.

حدثت النقطة الرئيسية التالية مع إدخال RomCom 3.0 في فبراير 2023 ، الذي اعتمد هيكلًا معماريًا من ثلاثة مكونات أساسية. كان ذلك قفزة كبيرة في المرونة والوظائف ، دعمًا لـ 42 أمرًا متميزًا ، العديد منها كان تباينًا دقيقًا لبعضها البعض ، مما يسلط الضوء على تركيز المشغل على التكيف والتحسين التشغيلي.

استمرت الإصدارات اللاحقة في التركيز على تعزيز القدرات وتحسين متانة التشغيل. مع مرور الوقت ، تطور RomCom من بوابة خلفية مخصصة إلى بضاعة برامج ضارة مستخدمة من قبل مجموعات الجريمة ، والتي دمجتها في كشوفهم لتمكين وتسهيل عمليات إجرامية متنوعة. هذا التطور كان مدعومًا بتكامل RomCom مع عمليات الفدية Cuba و Industrial Spy و Underground ، مما يشير بوضوح إلى أنه أصبح جزءًا من نظام بيئي عدوى أوسع نطاقًا كبنية مشتركة. هذا الانتشار الواسع جذب انتباه الأعداء المتحالفين مع الدولة ، ولا سيما أولئك المرتبطين بالمصالح الروسية ، الذين بدأوا في استخدام RomCom كمنصة متعددة الاستخدامات لدعم عمليات التجسس والتحكم الاستراتيجي.

أكد هذا التلاقي تقييمنا بأن حدود مجموعات الجريمة والأعداء المتحالفين مع الدولة تتلاشى بشكل متزايد. يحدث التحول من حمولة مستقلة إلى منصة كاملة تمامًا عند هذا التقاطع ، عندما يبدأ في استخدامها لأهداف تشغيلية متقدمة و استراتيجية يمتد تأثيرها إلى ما وراء الانتهازية أو المكاسب المالية. في تلك المرحلة ، تتوقف عن خدمة غرض تكتيكي واحد وتتيح عوضًا عن ذلك عدة أهداف تشغيلية ، وأحيانًا متناقضة. هذا يشير إلى أن المشغلين يعتبرون الحمولة بنية تحتية قابلة لإعادة الاستخدام بدلاً من سلاح مخصص.

لقد لاحظت حدودًا متزايدة التلاشي بين أنشطة الدولة ومجموعات الجريمة. من منظورك ، ما هي المحركات الرئيسية وراء هذا التلاشي ، وكيف يجب على المدافعين التفكير بشكل مختلف عند تقييم العزو والدافع في هذه الحالات؟

التلاشي بين عمليات الدولة ومجموعات الجريمة يُحفز بشكل رئيسي bởi عوامل عملية على كلا الجانبين. بالنسبة للأعداء المتحالفين مع الدولة ، الهدف هو الحصول بسرعة على قدرات تم التحقق منها وتم إثباتها على ساحة المعركة. استخدام أدوات أو بنية تحتية موجودة يسمح لهم بالحصول على مرونة تشغيلية دون تكريس موارد كبيرة لتطوير أدوات مخصصة من الصفر. إذا كانت الحمولة متينة وفعالة ومتاحة ، فلماذا إعادة اختراعها؟ من ناحية أخرى ، بالنسبة لمشغلي الجريمة ، الحصول على موارد ومعلومات دولة من المستوى وبيانات التوجيه وقنوات التوزيع المحمية يتيح لهم توسيع قدراتهم بسرعة مع ضمان الدعم المالي مع خطر ضئيل.

RomCom يُجسد هذا التلاشي. في البداية كانت برامج ضارة شائعة مصممة لتمكين عمليات الفدية ، ثم تم تبنيها لاحقًا في أنشطة متوافقة مع المصالح الروسية ، مستهدفة مؤسسات حكومية أوكرانية ، وكيانات موالية لمنظمة حلف شمال الأطلسي ، ومنظمات إنسانية. تشير تقييمنا إلى أن RomCom تحولت من أداة محفزة بالمكاسب المالية إلى أداة تستخدم في عمليات الدولة ، لدعم كل من أهداف التجسس واضطراب.

هذا التطور يسلط الضوء على مبدأ أساسي: بغض النظر عما إذا كان العدو محفزًا ماليًا أو سياسيًا ، فإن التأثير على الضحية يبقى相同ًا. في هذا السياق ، يصبح الدفاع المستنير بالتهديد أمرًا ضروريًا. يجب على المنظمات أن تُrioritize التحقق من الدفاعات والصلابة ضد السلوكيات الواقعية المرصودة ، بدلاً من التركيز حصريًا على العزو أو الدافع المفترض.

ماذا يكشف RomCom حول تلاشي الحوافز المالية والسياسية بين الأعداء؟ تحديدًا ، كيف تفسر الاتجاه المتزايد لاستخدام المجموعات المتحالفة مع الدولة لبنى تحتية الجريمة كأدوات للتأثير أو الإنكار القابل للتصديق؟

RomCom تُظهر تطور مجموعة إجرامية حافظت على συνέعية تشغيلية طويلة الأمد ، مع توسيع شبكة من التحالفات. على مدار نشاطها ، أقامت روابط واضحة مع عدة عائلات فدية ، ولا سيما Cuba و Industrial Spy و Underground ، مما يعكس التكامل العميق داخل نظام بيئي الجريمة. مع مرور الوقت ، تطور RomCom من بوابة خلفية مخصصة لعمليات الفدية إلى منصة شاملة يمكنها دعم أنشطة إجرامية متنوعة. هذا التطور كان مدعومًا بتكاملها مع عمليات الفدية ، مما يشير بوضوح إلى أنها أصبحت جزءًا من بنية تحتية عدوية أوسع نطاقًا كبنية مشتركة.

RomCom يُظهر أيضًا نمطًا أوسع لاستخدام الأعداء المتحالفين مع الدولة لاستخدام أدوات الجريمة. هذه الأدوات تم اختبارها وتم إثباتها وتمثل وسيلة ملائمة لتحقيق أهداف استراتيجية أوسع. روسيا تبقى مثالًا رئيسيًا: التقرير الواسع يُظهر مجموعات إجرامية متصلة بروسيا تعمل كextensions facto لعمليات الدولة أو يتم استغلالها بشكل مباشر لدعمها. هذا يتيح للدول الحصول على وصول إلى أصول قادرة وقابلة للإنكار ، في حين يحصل مشغلو الجريمة على التأثير والمكافآت المالية. في نظام بيئي الجريمة ، الولاء هو معامل ، يعتمد على التأثير والربح.

هذا النموذج يقدم مزايا استراتيجية واضحة ، وهو السبب في أنه يصبح أكثر شيوعًا. شراكات الجريمة توفر للدول وصولًا إلى القدرات دون علاقة مباشرة ، ويتعقد الرد الدبلوماسي والقانوني الناتج عن الغموض التشغيلي. عائلات البرامج الضارة أصبحت فعليًا أدواتًا للدولة ، مما يعزز بدلاً من استبدال التجسس التрадиوي من خلال البنية التحتية الإجرامية التي تتميز بالإنكار والتناسب والاستدامة.

البرامج الضارة الحديثة غالبًا ما لا تبقى محصورة في قطاع أو منطقة واحدة. ماذا يشير هذا إلى أولويات المهاجم أو قيوده ، وهل هناك قطاعات أو جغرافيا تعتقد أنها “التالية” لتوسيع النطاق عبر المجالات؟

في حين أن بعض الأعداء قد يفرضون قيودًا على أنفسهم ، فإن العديد منهم يعتبرون الضرورة والازمات كفجوات إضافية للعدوى ، مما يسرع من الاختراقات ويستغل الدفاعات المشتتة أو المرهقة. الدافع يؤثر على الاستهداف ولكن نادرًا ما يقيدها. مجموعات الجريمة المحفزة ماليًا تُrioritize الأهداف التي تتمتع بأعلى مكاسب محتملة أو التبعيات التشغيلية ، مثل المالية ومعالجة المدفوعات والشركات الكبيرة التي تتمتع بمتطلبات وقت تشغيل صارمة. في المقابل ، مجموعات الجريمة المتحالفة مع الدولة تركز على القطاعات التي تُحقق أهدافًا سياسية ، بما في ذلك الحكومة والدفاع والبنية التحتية الحيوية. ومع ذلك ، يزداد تلاشي الحوافز بين هذه الدوافع.

“تكتيكات الرش والصلاة” والبضائع ستبقى. نماذج الفدية كخدمة (RaaS) والأدوات الشائعة والفحص الآلي تمكن المهاجمين المحفزين ماليًا من توسيع نطاق أهدافهم بشكل عدواني. أي خدمة معرضة ضعيفة محتملة في النطاق. التوسع الجغرافي يتبع كل من الفرص والفجوات في النضج. المناطق التي تخضع لتغيير رقمي سريع ولكنها تفتقر إلى نضج أو استجابة لحوادث الأمن السيبراني هي جذابة للاختراق الأولي وعمليات التوسع. في المقابل ، الأهداف ذات القيمة العالية في المناطق المحمية جيدًا يتم التأثير عليها غالبًا من خلال اختراق سلسلة التوريد أو الوصول الخارجي.

عند إنشاء محاكاة أعداء واقعية ، ما هي التحديات الفنية الأكثر صعوبة التي تواجهها؟ كيف تُثبت أن هذه المحاكاة تمثل التهديدات في العالم الحقيقي بشكل كافٍ ، وهل هناك سلوكيات لا تزال صعبة بشكل خاص لتحقيقها بشكل موثوق؟

أحد التحديات الفنية الأكثر صعوبة هو تحقيق إخلاص السلوك دون إدخال مخاطر تشغيلية. يجب أن تكرر المحاكاة السلوكيات في العالم الحقيقي بدقة كافية للتحقق من الكشف والسيطرة ، مع الحفاظ على أمان كافٍ للتشغيل في بيئات الإنتاج. هذا التبادل هو دائم. التطبيقات العدوانية بشكل مفرط تهدد بتعطيل الأنظمة أو إنتاج إيجابيات أو سلبيات كاذبة ، في حين أن التطبيقات الحذرة بشكل مفرط تفقد الإخلاص والفائدة. نُrioritize محاكاة “نقاط الحلقات” للأعداء ، السلوكيات الحاسمة التي ت决定 نجاح أو فشل الاختراق ، حيث يهم الرؤية الدفاعية والاستجابة أكثر. من خلال التركيز على هذه السلوكيات الحاسمة ، تقدم المحاكاة أعلى قيمة لكلاً من تغطية الكشف واعتماد الصلابة.

بعض التقنيات مقيدة أو محذوفة عمدًا لأنها تشكل خطرًا غير مقبول أو لا يمكن محاكاتها بدقة دون تعطيل البيئة. الحصول على تنفيذ قليلاً خاطئًا ، وستكون قادرة على اختبار شيء لم يفعله العدو في الواقع ، أو تعطيل النظام الذي تحاول حمايته. تحديات أخرى تنشأ من السلوكيات التي تعتمد على السياق البيئي أو تتطلب وصولًا مصدقًا. السلوكيات الشبكية مقيدة أيضًا: على سبيل المثال ، نكرر أنماط البروتوكول وسلوكيات البث دون الاتصال بالبنية التحتية الضارة.

إنشاء محاكاة واقعية هو عملية هندسية تكرارية: تحديد وتوثيق وتنفيذ واختبار وتصديق وتحسين. كل تكرار يوازن الإخلاص والأمان والصلة التشغيلية لضمان أن تكون المحاكاة واقعية وقابلة للتطبيق.

نظرًا إلى三年 إلى خمس سنوات قادمة ، ما هي الاتجاهات في تعقيد البرامج الضارة أو منهجية المهاجم أو نظام بيئي التهديد الذي تجده أكثر قلقًا أو مثيرًا للاهتمام، وما هي الخطوات التأسيسية التي تُوصي بها للمنظمات التي تبدأ رحلتها في الدفاع المستنير بالتهديد ومحاكاة الأعداء؟

أحد الاتجاهات الأكثر إثارة للاهتمام والقلق هو زيادة تعقيد أنظمة بيئية الجريمة الإلكترونية. على مدار العقد الماضي ، توسعت مجموعات الجريمة الإلكترونية بشكل كبير.

في السنوات الأولى ، كان عدد المشاركين محدودًا ، وتأثيرهم كان نسبيًا هامشيًا. اليوم ، مئات الكيانات المتداخلة تتعايش وتتعاون ، كل منها يلعب دورًا متخصصًا. هذا التبادل يشكل نظامًا بيئيًا معقدًا يشبه السوق الشرعية في الهيكل والكفاءة. نظام بيئي الفدية يُجسد هذا تمامًا: عشرات العائلات النشطة تتعايش وتتطور وتعقب بعضها البعض. هذا الدوران المستمر يكشف عن شبكة علاقات معقدة يصبح من الصعب فك شفرتها بشكل متزايد.

اتجاه آخر محدد هو تلاشي الحدود بين عمليات الدولة والجريمة. ليس فقط على المستوى التشغيلي ، ولكن أيضًا في تطوير البنية التحتية والمنصات البرمجية المشتركة. RomCom يُجسد هذا التطور. تحولت من بضاعة برمجية محفزة ماليًا إلى أداة متعددة الاستخدامات تستخدم في عمليات الدولة ، لدعم كل من أهداف التجسس واضطراب.

للمنظمات التي تبدأ رحلتها في الدفاع المستنير بالتهديد ، الخطوة التأسيسية هي تبني إطار عمل MITRE ATT&CK كلغة مشتركة لفهم وسرد سلوك الأعداء. يوفر ATT&CK تصنيفًا سلوكيًا يسمح للمدافعين بتحديد الكشف والسيطرة مباشرة إلى تقنيات المهاجم بدلاً من المؤشرات الثابتة. أُrioritize الكشف السلوكي على النهج القائم على التوقيع. المؤشرات المتأثرة تتغير باستمرار ، ولكن تقنيات الأعداء تبقى مستقرة نسبيًا ، وهو مبدأ يتم تسجيله في إطار هرم الألم.

شكرًا على الإجابات المفصلة ، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا AttackIQ.