Atomic Red Team Partie 2 : Utilisation d'Atomic Red Team pour l'émulation d'attaques adverses

Dans un précédent article de blog, nous avons abordé l’utilisation de l’émulation d’attaques au sein de votre environnement pour valider et améliorer vos cyberdéfenses. Nous allons vous expliquer comment utiliser un outil open source pour émuler des techniques d’attaque dans votre environnement. L’outil open source que nous avons choisi est Atomic Red Team de Red Canary. Les tests individuels, appelés « atomics », peuvent être exécutés manuellement directement sur un système ou via le framework PowerShell, Invoke-Atomic.

Atomic Red Team vous permet de tester plus de 200 techniques d'attaque différentes. Cet outil est aligné sur le cadre MITRE ATT&CK, ce qui facilite le passage des profils de menaces à l'émulation.

Avant de procéder aux tests, notez qu'il n'est pas recommandé d'utiliser Atomic Red Team sur un système de production, car cela pourrait l'endommager. L'utilisation d'un système de test avec des contrôles de sécurité et des configurations de production donnera les meilleurs résultats.

Sélection et exécution manuelle des opérations atomiques

Atomic Red Team étant aligné sur le référentiel MITRE ATT&CK, vous pouvez simuler le comportement d'un attaquant pour chacune des 14 tactiques d'attaque d'entreprise répertoriées dans ce référentiel.

Pour simuler le comportement d'un attaquant sans installation, il suffit de se rendre dans le répertoire « Atomics » du dépôt GitHub « Atomic Red Team » et de sélectionner l'une des techniques répertoriées. Chaque technique du répertoire « atomics » est identifiée par un identifiant correspondant à la classification MITRE ATT&CK. Ces dossiers contiennent tous un fichier Markdown qui présente la description de la technique, les « atomics » disponibles et les commandes associées.

Vous pouvez exécuter la technique d'attaque en exécutant les commandes d'attaque listées sur un système d'exploitation supporté avec les permissions de compte spécifiées. L'exécution de la commande atomique aboutira à une exécution réussie ou affichera une erreur indiquant que les contrôles de sécurité ont empêché la technique d'aboutir.

Automatisation et installation d'Atomics

Atomic Red Team peut également être exécuté via son cadre d'exécution, Invoke-Atomic, qui est compatible avec tous les systèmes d'exploitation prenant en charge PowerShell. Le cadre d'exécution peut être installé de manière autonome ou avec une copie du dossier "atomics".

L'installation du framework Invoke-Atomic et des tests atomiques facilite l'exécution de plusieurs tests atomiques en succession rapide.

Cette commande installera Invoke-Atomic et téléchargera tous les tests Atomic sur votre périphérique de test :

"IEX (IWR 'https://raw.githubusercontent....' -UseBasicParsing) ; Install-AtomicRedTeam -getAtomics"

Pour plus d'informations sur l'installation, consultez le wiki disponible sur la page GitHub d'Invoke Atomic Red Team.

Utilisation de Invoke-Atomic

Pour cet exemple, nous avons sélectionné des atomics mappés aux techniques décrites dans le profil de menace de l'équipe de gestion des menaces de Datto sur le groupe de ransomware LockBit.

(L'image montre les identifiants ATT&CK de l'étape d'exécution du profil de menace LockBit de Datto)

En parcourant le fichier Markdown de la tâche planifiée : Tâche planifiée (T1053.005), on constate qu'il répertorie six opérations atomiques. Pour cet article, nous utiliserons le test numéro 2.

Tout d'abord, vous devez lancer PowerShell pour exécuter le module Invoke-Atomic à l'aide de la commande suivante. Il est important de noter que tous les atomiques seront référencés à l'aide de l'ID ATT&CK de MITRE associé aux différentes tactiques et techniques.

Invoke-AtomicTest T1053.005 -ShowDetailsBrief

L'utilisation du drapeau `-ShowDetailsBrief` listera les tests individuels à l'intérieur de cet atome. Comme mentionné ci-dessus, nous utiliserons le test 2, qui peut être accédé en supprimant `-ShowDetailsBrief` et en ajoutant `-TestNumbers` et `-ShowDetails`

Invoke-AtomicTest T1053.005 -TestNumbers 2 -ShowDetails

L'utilisation du drapeau `-ShowDetails` affichera des informations sur le test atomique que vous êtes sur le point d'exécuter. Ici, vous pouvez vérifier la description pour comprendre le test et vérifier les systèmes d'exploitation supportés et les pré-requis. Une fois prêt, il suffit de supprimer l'indicateur `-ShowDetails` et d'exécuter la commande.

Invoke-AtomicTest T1053.005 -TestNumbers 2

Cette simple commande a émulé une technique qu'un adversaire pourrait utiliser dans votre environnement. En fonction du résultat, vous pouvez vouloir réinitialiser et retester cette technique. La réinitialisation peut facilement être effectuée en ajoutant le drapeau `-cleanup` à la commande ci-dessus, ce qui rétablira l'activité précédente pour permettre un nouveau test.

Invoke-AtomicTest T1053.005 -TestNumbers 2 -cleanup

Une fois le nettoyage de votre Atomics terminé, vous avez réussi à émuler une attaque sur votre appareil et à le réinitialiser afin qu'il soit prêt pour de futures émulations d'attaques.

Nous espérons que cette présentation vous a aidé à voir à quel point il est facile d'utiliser l'émulation de techniques d'attaque pour valider vos contrôles de sécurité et vos outils de détection. L'utilisation de l'émulation des techniques d'attaque est un outil essentiel pour vous rendre, vous et vos clients, plus résilients sur le plan cybernétique.