Microsoft представила матрицу угроз для облачных веб-приложений на базе MITRE ATT&CK
Microsoft опубликовала Cloud web applications threat matrix — новую модель угроз, построенную на тактиках MITRE ATT&CK и описывающую атаки на облачные веб-приложения и serverless-платформы. Матрица закрывает разрыв между анализом кода приложений и облачной инфраструктуры, помогая командам ИБ выявлять слепые зоны, приоритизировать меры защиты и планировать расследования. Документ развивает ранее выпущенные матрицы Microsoft для Kubernetes и облачных хранилищ.
Подробности
В матрице техники атак разделены на тактики, соответствующие MITRE ATT&CK: Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection и Impact. Тактика Resource Development описывает техники, с помощью которых злоумышленники создают ресурсы для поддержки своих операций: приобретают инфраструктуру, разрабатывают возможности или компрометируют ресурсы, которые позже используются при атаке. В качестве примера Microsoft приводит захват поддомена (subdomain takeover): если удалить облачное приложение или сервис, не удалив связанную с ним DNS-запись, указывающую на переиспользуемую конечную точку провайдера, возникает риск захвата поддомена. То, реализуется ли эта угроза, зависит от поведения провайдера, конфигурации сервиса и других факторов. Microsoft отмечает, что матрица призвана помочь защитникам оценивать пробелы в видимости, приоритизировать укрепление конфигураций и планировать расследования в cloud-native средах. Отдельное внимание в публикации уделено техникам повышения привилегий (Privilege Escalation), а также приведены рекомендации по снижению рисков и защите.Что делать
Практические выводы для команд ИБ вытекают из самой логики матрицы. Прежде всего стоит сопоставить собственные процессы обнаружения и реагирования с перечисленными тактиками и техниками и определить, где не хватает телеметрии — особенно на стыке уровня приложения и облачной платформы, который традиционно остаётся слепой зоной при раздельном мониторинге. Далее следует проверить гигиену DNS и жизненный цикл облачных ресурсов: при выводе из эксплуатации приложений и сервисов удалять связанные DNS-записи, чтобы исключить риск захвата поддоменов. Кроме того, рекомендуется расставить приоритеты в укреплении конфигураций управляемых сред выполнения, идентичностей рабочих нагрузок, конвейеров развёртывания и связанных облачных сервисов — именно через них проходят межатакующие пути, описанные в матрице. Итог: Cloud web applications threat matrix даёт защитникам единый язык и структуру для анализа угроз облачным веб-приложениям. Её применение позволяет находить пробелы в видимости до того, как ими воспользуются злоумышленники.Источник: Microsoft Security Blog