網路攻擊與防禦實務
MITRE ATT&CK是把實際攻擊中觀察到的手法，分為代表攻擊者目的的「戰術」，以及代表達成該目的之具體方法的「技術」來整理的知識庫。觀察到的行為與其所屬戰術的組合，正確的是下列何者？
- A以竊取的管理員認證資訊遠端連線到公司內的另一台伺服器，這個行為屬於資料外洩（Exfiltration）
- B把公司內的檔案壓縮後，大量傳送到外部的雲端儲存空間，這個行為屬於初始存取（Initial Access）
- C把自己註冊為作業系統的服務，讓它在重新開機後也會自動執行，這個行為屬於持續性（Persistence）
查看答案與解析
正確答案：C. 把自己註冊為作業系統的服務，讓它在重新開機後也會自動執行，這個行為屬於持續性（Persistence）
ATT&CK的戰術表示攻擊者「為什麼」採取該行為（目的），技術則表示「如何」做到；例如持續性戰術包含註冊服務、排程工作、修改開機時執行的設定等技術。把連線擴大到其他伺服器的行為屬於橫向移動（Lateral Movement）戰術，把資料傳到外部的行為屬於資料外洩（Exfiltration）戰術。防禦方把自身的偵測與對策涵蓋了哪些技術對應到ATT&CK上整理，用來找出薄弱之處。由於技術有識別碼，威脅情資報告與偵測規則之間可以用相同的編號稱呼相同的手法。
- A. 把連線擴大到其他伺服器的行為，屬於橫向移動（Lateral Movement）戰術。
- B. 把資料傳到外部的行為屬於資料外洩（Exfiltration）戰術。初始存取是最初進入組織網路的階段。
- C. 正確。為了在重新開機或變更認證資訊後仍保有存取權的行為，屬於持續性戰術。