Atomic Red Team Teil 2: Verwendung von Atomic Red Team für die Emulation gegnerischer Angriffe

In einem früheren Blogbeitrag haben wir die Nutzung der Angreifer-Emulation in Ihrer Umgebung zur Überprüfung und Verbesserung Ihrer Cyberabwehr erörtert. Wir werden Ihnen nun zeigen, wie Sie mithilfe eines Open-Source-Tools Angriffstechniken in Ihrer Umgebung emulieren können. Das von uns gewählte Open-Source-Tool ist „Atomic Red Team“ von Red Canary. Einzelne Tests, sogenannte „Atomics“, können manuell direkt auf einem System oder über das PowerShell-Framework „Invoke-Atomic“ ausgeführt werden.

Mit Atomic Red Team können Sie über 200 verschiedene Angriffstechniken testen. Dieses Tool ist auf das MITRE ATT&CK-Framework abgestimmt, sodass sich der Übergang von Bedrohungsprofilen zur Emulation problemlos gestalten lässt.

Beachten Sie vor dem Testen, dass es nicht empfehlenswert ist, Atomic Red Team auf einem Produktionssystem zu verwenden, da es Schäden verursachen kann. Die besten Ergebnisse erzielen Sie, wenn Sie ein Testsystem mit den Sicherheitskontrollen und -konfigurationen der Produktion verwenden.

Atomics auswählen und manuell ausführen

Da Atomic Red Team auf das MITRE ATT&CK-Framework abgestimmt ist, können Sie das Verhalten von Angreifern anhand jeder der 14 im Framework aufgeführten Unternehmenstaktiken simulieren.

Um das Verhalten von Angreifern ohne Installation zu simulieren, navigieren Sie einfach zum Verzeichnis „Atomics“ des GitHub-Repositorys „Atomic Red Team“ und wählen Sie eine der aufgeführten Techniken aus. Jede Technik im Verzeichnis „atomics“ ist mit einer ID gekennzeichnet, die dem MITRE ATT&CK-Rahmenwerk entspricht. Diese Ordner enthalten jeweils eine Markdown-Datei mit Beschreibungen der Technik, der verfügbaren „Atomics“ und der zugehörigen Befehle.

Sie können die Angriffstechnik ausführen, indem Sie die aufgeführten Angriffsbefehle auf einem unterstützten Betriebssystem mit den angegebenen Kontoberechtigungen ausführen. Die Ausführung des Angriffs führt entweder zu einer erfolgreichen Ausführung oder zeigt einen Fehler an, der darauf hinweist, dass die Sicherheitskontrollen den Erfolg der Technik verhindert haben.

Automatisieren und Installieren von Atomics

Atomic Red Team kann auch über sein Ausführungsframework Invoke-Atomic ausgeführt werden, das mit allen Betriebssystemen kompatibel ist, die PowerShell unterstützen. Das Ausführungsframework kann eigenständig oder mit einer Kopie des Ordners "atomics" installiert werden.

Die Installation des Invoke-Atomic-Frameworks und atomarer Tests erleichtert die Ausführung mehrerer atomarer Tests in schneller Folge.

Mit diesem Befehl wird Invoke-Atomic installiert und alle Atomic-Tests werden auf Ihr Testgerät heruntergeladen:

"IEX (IWR 'https://raw.githubusercontent....' -UseBasicParsing); Install-AtomicRedTeam -getAtomics"

Weitere Informationen zur Installation finden Sie im Wiki auf der GitHub-Seite von Invoke Atomic Red Team.

Invoke-Atomic verwenden

Für dieses Beispiel haben wir Atomics ausgewählt, die den Techniken entsprechen, die im Bedrohungsprofil des Datto Threat Management-Teams für die LockBit-Ransomware-Gruppe beschrieben sind.

(Die Abbildung zeigt die ATT&CK-IDs der Ausführungsphase aus dem LockBit-Bedrohungsprofil von Datto)

Beim Durchlesen der Markdown-Datei für die geplante Aufgabe/den geplanten Job: „Scheduled Task (T1053.005)“ werden sechs atomare Operationen aufgeführt . Für diesen Beitrag werden wir Test Nummer 2 verwenden.

Starten Sie zunächst PowerShell, um das Invoke-Atomic-Modul mit dem folgenden Befehl auszuführen. Es ist wichtig zu beachten, dass alle Atome mit der MITRE ATT&CK-ID referenziert werden, die mit den verschiedenen Taktiken und Techniken verbunden ist.

Invoke-AtomicTest T1053.005 -ShowDetailsBrief

Mit dem Flag `-ShowDetailsBrief` werden die einzelnen Tests in diesem Atomic aufgelistet. Wie oben erwähnt, werden wir Test 2 verwenden, auf den wir zugreifen können, indem wir `-ShowDetailsBrief` entfernen und `-TestNumbers` und `-ShowDetails` hinzufügen.

Invoke-AtomicTest T1053.005 -TestNumbers 2 -ShowDetails

Wenn Sie das Flag "ShowDetails" verwenden, werden Informationen über den Atomtest angezeigt, den Sie gerade ausführen wollen. Hier können Sie die Beschreibung überprüfen, um den Test zu verstehen und die unterstützten Betriebssysteme und Voraussetzungen zu überprüfen. Wenn Sie fertig sind, entfernen Sie einfach die Markierung `-ShowDetails` und führen den Befehl aus.

Invoke-AtomicTest T1053.005 -TestNumbers 2

Dieser einfache Befehl hat eine Technik emuliert, die ein Angreifer in Ihrer Umgebung ausführen könnte. Je nach Ergebnis sollten Sie diese Technik zurücksetzen und erneut testen. Das Zurücksetzen kann ganz einfach erfolgen, indem Sie dem obigen Befehl die Markierung `-cleanup` hinzufügen, wodurch die vorherige Aktivität rückgängig gemacht wird, um einen erneuten Test zu ermöglichen.

Invoke-AtomicTest T1053.005 -TestNumbers 2 -cleanup

Sobald die Bereinigung Ihres Atomics abgeschlossen ist, haben Sie erfolgreich einen Angriff auf Ihr Gerät emuliert und es zurückgesetzt, um für zukünftige Angriffsemulationen bereit zu sein.

Wir hoffen, dass Ihnen dieser Rundgang gezeigt hat, wie einfach die Emulation von Angriffstechniken ist, um Ihre Sicherheitskontrollen und Erkennungstools zu validieren. Die Emulation von Angriffstechniken ist ein wichtiges Instrument, um Sie und Ihre Kunden widerstandsfähiger gegen Cyberangriffe zu machen.