TeamT5 杜浦數位安全 長期研究駭客族群，深度了解駭客攻擊手法、對組織或企業的影響，以及因應對策。

我們特別針對疑似為駭客族群 APT27 -又被稱為 Greedy Taotie 貪婪饕餮 的發言，進行評論分析，也提出3點資安防禦建議，如供應鏈資安管理的重點，協助企業、組織提升資安防護能量。

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/j8iAh7_1fQE" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen></iframe>
</center>

 

>[關於杜浦數位安全 TeamT5]
 
>我們專精網路威脅研究，提供端點偵測與回應(EDR)解決方案。協助美日臺大型企業有效保護商業機密文件，營運不受網路攻擊影響。
團隊具備超過10年的惡意程式與進階持續性滲透攻擊(APT)的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。

>進一步了解我們威脅情資整合平台 ThreatVision: [https://teamt5.org/tw/products/threatvision/](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website)

關於駭客族群 APT27 的那些事

在各種資安警訊、威脅情資滿天飛的情況下，企業應有效運用威脅情資，快速針對資安威脅，做出回應，降低損害。

本文將詳細說明企業妥善運用威脅情資(亦稱資安情資)的方式。

##重點1: 情資管理做到位 企業資安沒煩惱 
過去資安團隊使用多種工具，手動收集、驗證各種來源的威脅情報，花費許多時間與人力成本。
導入威脅情資平台TIP，將可使團隊專注在真正重要的事情，
更有效收集、彙整多個來源和格式的威脅情資，並快速識別高風險威脅，即時回應、介入處理。

##重點2: 威脅情資平台的威力
好的威脅情資平台需要具備多個要素，包含: 
**a. 提供各類報告**: 不同類型的給企業各層級的使用者，內容包含目標國家、目標產業、攻擊手法等重要資訊，使各職位的人可以獲得在其職務範圍內最有價值的情報，做出對應行動 。
 
**b. 提供網路位址威脅查詢**: 因此使用者可以透過上傳特定情資來源，快速了解該惡意活動的相關資訊。
 
**c. 提供IoC 報告**: 內容包含最新且精準的惡意 IP、Domain 清單、以及入侵指標彙總、提供企業快速更新防護狀態。
 

##最後小提醒: 選擇對的工具 事半功倍
選擇對的威脅情資平台，能夠大幅提升處理資安威脅的速度與效率。
 
 
TeamT5 推出的威脅情資平台 ThreatVision，即具備由資深專業分析師團隊提供亞太地區威脅情資報告，一站式平台匯集多種情資；並提供線上諮詢，擔任企業進行資安決策的最佳後盾! 

>企業防駭，就找TeamT5!
>🔏 諮詢表單 [https://teamt5.org/tw/request-information/](https://teamt5.org/tw/request-information/?utm_source=blog&utm_medium=website)

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/1HtlXXm1vvM" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen></iframe>
</center>

威脅情資: 企業面對資安威脅的關鍵

Products & Services

最近、発展した持続的な攻撃（Advanced Persistent Threat、APT）を防御するため、多くの情報セキュリティ企業がエンドポイントセキュリティ領域に相次いで投資し、エンドポイントでの事案を解析することで脅威の特定と対応措置を策定してきた。しかし多くの方法は検知ツールに組み込まれたルールに基づいて事案のリスクレベルを決定している。つまり、すべての企業顧客において「標準的」なものが適用される。

 

# リスク防護も「カスタマイズ化」できる

情報セキュリティ防御において、各企業領域において要求される重点は異なる場合がある。エンドポイントの防護においては、明確で完全な APT 攻撃の事案は疑うべきもなく高度な脅威として優先的に処理される必要がある。このほかにも多くのリスク事案が存在し（例：企業コンプライアンス違反）、各企業は実際に異なるニーズを持っている。

企業の異なる情報セキュリティ防御のニーズに対応し、TeamT5 は ThreatSonar Anti-Ransomware をリリース。脅威識別と対応プラットフォームが最大の柔軟性を提供し、最新機能「リスクの購読」（Threat Subscription）によってカスタマイズされた脅威の防御を提供する。

 

## 懸念される脅威を優先して追跡

ThreatSonar Anti-Ransomware のリスク購読機能を通して、企業ユーザーは会社の防護ポリシーに基づき、優先して対処すべきリスクイベントの防御と警告を自分から決定し、企業が自社の情報セキュリティ防御ポリシー（Policy）による明確な管理を行うことが可能になる。例えば、社内の同僚の PC に VPN リモート接続ツールがインストールされているかどうか、または、中国製のソフトウェアが企業内で使用されているかどうか、などだ。ThreatSonar Anti-Ransomware はそれらをすべて厳しくチェックし、脅威を検知して警告してくれるのである。

 

ThreatSonar Anti-Ransomware のリスク購読があれば、「1つのルールで一括管理」するのではなく、すべての顧客に専門的なリスク防護を提供することができる。

 

## 自分のリスクレベルは自分で決める

ThreatSonar Anti-Ransomware リスク購読によって当社は企業のためにカスタマイズされたリスクイベントのチェックを提供することができるが、リスク項目は非常に多く、情報セキュリティ担当者の人員には限りがあり、リスクレベルも会社のポリシーに応じて調整と変更が必要になる。

そこで、リスク項目の購読のほかにも ThreatSonar Anti-Ransomware は更に「リスクレベルのカスタマイズ」をサポートしており、情報セキュリティ担当者が自分でリスクレベルを決定できる。例えば、どのような高リスクの攻撃イベントが発生した場合に即時対応するか、どのような疑わしいイベントに対して更に調査を行うか、どのようなリスクイベントが低リスクレベルに該当するか（例：同僚の情報機器使用方法が会社の情報セキュリティ規範に違反している）、等である。

リスクレベルを自社で決定しいつでも調整できることで、企業の情報セキュリティ防護における柔軟性と利便性を向上し、企業はより効率的に内部の情報セキュリティ要員を配置して異なるリスクレベルに応じた対応を行うことができる。

 

## 情報セキュリティインシデントを即時警告し、調査が複雑にならない

これまでは情報セキュリティ担当者が企業のトロイの木馬型遠隔操作ウイルス（Remote Access Trojan、RAT）への感染を調査する時、通常は、疑わしいファイルがファイルやプロセス（Process）を一覧表示しようとしているかどうか、ネットワークへの接続を行っているかどうか等、複数のファイルの特徴を確認する必要がある。これらの振る舞いがすべて確認された場合、エンドポイントがトロイの木馬型攻撃を受けたことを確認できる。しかしながら、考慮すべき特徴が非常に多く、これらの振る舞いは複数の疑わしいファイル上に分散している場合があるため、全体のイベントを調査するのには相当の時間を要する。

ThreatSonar Anti-Ransomware のリスク購読機能があれば、複数の特徴的な振る舞いを組み合わせ、単体の情報セキュリティ攻撃イベントに対して明確でリアルタイムな警告を行うことができる。情報セキュリティ担当者による調査の負担を効果的に軽減するだけでなく、重大な情報セキュリティインシデントに即時対応し、処置を行うことができるのである。

 

**ThreatSonar Anti-Ransomware のリスク購読機能** のリスク購読機能は企業における最も優秀な情報セキュリティ防護対策です。今すぐカスタマイズされた専門的なリスク防護のため、TeamT5 にご連絡ください！

> お問い合わせ先：[https://teamt5.org/jp/request-information/](https://teamt5.org/jp/request-information/?utm_source=blog&utm_medium=website)

ThreatSonar Anti-Ransomware リスクの購読－専用のリスク防護をカスタマイズ

In recent years, in order to prevent advanced persistent threats (APT), many cybersecurity companies have invested in the field of endpoint protection and conducted endpoint event analysis to help locate threats and formulate countermeasures. However, most methods are based on the built-in rules of the detection tool to determine the risk level of the event, which means that a "set of standards" is applied to all corporate clients.

 

# Risk protection can also be "customized"

Regarding cybersecurity protection, the priorities required by each enterprise field may be slightly different. In terms of endpoint protection, APTs must undoubtedly be treated as high-level threats and processed with priority. In addition, there are many other risk events (such as violation of internal corporate regulations), and each enterprise actually has different needs.

Enterprise cybersecurity protection needs are different. TeamT5 launched ThreatSonar Anti-Ransomware with threat identification and response platform to provide the greatest flexibility. With the latest function "Risk Subscription" (Threat Subscription), you can customize your exclusive threat protection.

With ThreatSonar Anti-Ransomware Risk Subscription, we create unique risk protection for each client, no longer "one set of rules to rule the world."


## You decide your own risk level

Through ThreatSonar Anti-Ransomware risk subscription, we can customize risk events for enterprises, but there are many risk projects, limited cybersecurity manpower, and risk levels may also change with company policy adjustments.

In view of this, in addition to subscribing to risk items, the ThreatSonar Anti-Ransomware risk subscription function also provides "custom risk level" support. Security personnel can determine the risk level by themselves. For example, they can set which high-risk attack events need to be dealt with immediately when they occur. , Which events are suspicious and require further investigation, and which risk events are only of low risk level (for example, a colleague's use of information equipment violates the company's cybersecurity regulations).

The risk level can be determined by oneself and adjusted at any time, which improves the flexibility and convenience of enterprise cybersecurity protection. Enterprises can allocate internal cybersecurity manpower more efficiently and perform relevant processing according to different risk levels.

 







## Instant alerts for cybersecurity incidents, making incident investigation no longer complicated

In the past, if security personnel wanted to investigate whether an enterprise had been invaded by a Remote Access Trojan (RAT), they usually needed to confirm several file characteristics, such as whether the risk file attempted to enumerate files or processes, Whether there is an ongoing network connection, etc., if the above characteristic behaviors are present, it can be confirmed that the endpoint has been attacked by a Trojan horse program. However, there are many characteristics to consider, and these behaviors may be spread across several risk profiles, making the overall incident investigation relatively time-consuming.

Through the ThreatSonar Anti-Ransomware risk subscription function, we help you combine multiple characteristic behaviors to issue clear and real-time alerts for a single cyber attack event. This not only effectively reduces the burden of security personnel’s investigation, but also allows for immediate response and disposal of important information. 


 

**ThreatSonar Anti-Ransomware risk subscription function** is the best cybersecurity protection for enterprises. Please contact TeamT5 immediately to customize your exclusive endpoint protection!

> Contact Us：[https://teamt5.org/en/request-information/](https://teamt5.org/en/request-information/?utm_source=blog&utm_medium=website)

ThreatSonar Anti-Ransomware Risk Subscription - Customize your own risk protection

近年來，為了防範進階持續性攻擊（Advanced Persistent Threat, APT），許多資安業者相繼投入端點防護領域，進行端點的事件分析，以助於定位威脅所在與制定因應措施。但多數的作法，大多是依照偵測工具內建規則，決定該事件的風險高低程度，意即以「一套標準」套用於所有的企業客戶。

 

# 風險防護也可以「客製化」

針對資安防護，各企業領域要求的重點或許略有不同。在端點防護上，具體完整的 APT 攻擊事件，無庸置疑須視為高度威脅優先處理。除此之外，尚有許多其他風險事件（例如違反企業內部規範），各家企業實際上也具備不同的需求。

企業資安防護需求有異，TeamT5 推出 ThreatSonar Anti-Ransomware 威脅鑑識與回應平台提供了最大的彈性，以最新功能「風險訂閱」（Threat Subscription），客製化您專屬的威脅防護。

 

## 您在乎的威脅，優先追蹤

透過 ThreatSonar Anti-Ransomware 風險訂閱功能，企業用戶可以依照公司本身的防範策略原則，主動決定要優先針對哪些風險事件進行防護與告警，協助企業確保自家資安防範原則（Policy）的落實管理。舉例來說，公司內部是否有同仁的電腦（被）安裝了 VPN 遠端連線工具？又或是否有任何中國製軟體在企業內使用？ThreatSonar Anti-Ransomware 都能替您把關，偵測威脅、發出告警。

 

![sonar detect.PNG](https://res.cloudinary.com/dvgomg5gh/image/upload/v1615369015/sonar_detect_0a6630d5c7.png)
_圖一、訂閱 VPN 安裝風險事件與告警_

 

有了 ThreatSonar Anti-Ransomware 風險訂閱，我們為每位客戶打造專屬的風險防護，不再「一套規則打天下」。

 

## 自己的風險等級，自己決定

透過 ThreatSonar Anti-Ransomware 風險訂閱，我們可客製化為企業把關風險事件，但是風險項目眾多、資安人力有限，且風險等級也可能隨著公司政策調整而改變。

有鑑於此，除了訂閱風險項目，ThreatSonar Anti-Ransomware 風險訂閱功能更提供「自訂風險等級」支援，資安人員可以自行決定風險等級，例如可設定哪些高風險攻擊事件發生時，需要立即處理、哪些屬於可疑事件，需進一步調查、哪些風險事件僅為低風險等級（例如，同仁的資訊設備使用方式違反公司資安規範）。

風險等級可自行決定且隨時調整，提升企業資安防護的彈性與便利性，企業可以更有效率地分配內部資安人力，依照不同風險等級進行相關處理。

 

## 資安事件即時告警，事件調查不再複雜

在過去，資安人員若要調查企業是否已遭到遠端存取木馬程式（Remote Access Trojan, RAT）入侵，通常需要確認幾項檔案特徵，例如風險檔案是否嘗試列舉檔案或行程（Process）、是否正在進行網路連線等，當上述特徵行為皆存在，就可以確認端點已遭到木馬程式攻擊。然而，需要考量的特徵非常多，且這些行為可能分布於數個風險檔案上，使得整體事件調查相對費時。

透過 ThreatSonar Anti-Ransomware 風險訂閱功能，我們幫您組合多個特徵行為，針對單一資安攻擊事件發出明確且即時的告警，不只有效降低資安人員調查的負擔，又可即時回應與處置重要資安事件。

 

**ThreatSonar Anti-Ransomware 風險訂閱功能** 是企業最佳的資安防護後盾，請即刻與 TeamT5 聯繫，訂製您的專屬風險防護！

> 業務聯絡：[https://teamt5.org/tw/request-information/](https://teamt5.org/tw/request-information/?utm_source=blog&utm_medium=website)

ThreatSonar Anti-Ransomware 風險訂閱－訂製您的專屬風險防護

ThreatSonar Anti-Ransomware インフォメーション

ThreatSonar Anti-Ransomware Resources

##認識 MITRE ATT&CK 框架
MITRE 是美國的非營利組織，為美國政府進行各項先進技術研究，資安更是其重點研發的一環。

MITRE 於2013年推出了 ATT&CK (Adversarial Tactics, Techniques & Common Knowledge)概念，旨在協助企業組織有共通的語言與架構，了解與分析網路攻擊手法，進而規劃資安對策。

##MITRE ATT&CK 框架 的資料呈現方式
MITRE ATT&CK 框架 基本呈現方式為一表格，方便使用者閱讀。使用者並可搭配下列兩種方式，交由設備進行自動化讀取 - 
 
**1. STIX**: 威脅情資的結構化語言
 
**2. TAXII**: 威脅情資的傳輸機制
 

##MITRE ATT&CK 框架 的3大種類
MITRE ATT&CK 框架 分為3大種類，使用者可以透過自身情況簡單判斷，參考不同的表格，進行威脅判斷並規劃資安對策。

**1. Enterprise Matrix**: 提供包含在Window, Linux, MacOS等電腦裝置上使用的攻擊手法
 
**2. Mobile Matrix**: 提供手機裝置上使用的攻擊手法
 
**3. Pre-ATT&CK**: 提供感染前的前置攻擊手法
 

##MITRE ATT&CK 框架 的基礎元素
透過解讀 MITRE ATT&CK 表格內的基礎項目(見圖一)，企業可更有效地進行跨團隊、跨組織溝通。

首先，說明表格欄位意義: 
- 第一橫列代表「Tactics (戰術)」: 其可理解為攻擊者想要達成的目標。
- 橫列下方的多個項目代表「Techniques (技術手法)」: 其可理解為達成戰術目標的技術種類。
![what-is-mitre-att-and-ck-matrix_pic1](https://uploads.teamt5.org/upload/original/what-is-mitre-att-and-ck-matrix_pic1.jpg)
<center>圖一: Enterprise Matrix (資料來源: [MITRE](https://attack.mitre.org/matrices/enterprise/))</center>


舉例來說，如果攻擊者想要完成編號 TA0002 的戰術「Execution(執行)」(*註1)，他就必須採用位於此戰術底下的技術手法來完成，如：Deploy container, Native API 等。

而若進一步將視野提升到完整的攻擊行為，其戰術順序常是由左至右(僅作為參考，實際攻擊行為會有更複雜的情況)。因此完整的攻擊行為可能是多個「Tactics (戰術)」與其對應的「Techniques (技術手法)」所編織而成。
 
 
其次，我們繼續拆解 MITRE ATT&CK，當中「Techniques (技術手法)」提供了以下資訊: 
- 描述
- 範例
- 參考
- 緩解與檢測的建議

這些內容不僅是 MITRE 協助讀者理解，更重要的是使用者可以透過這些共同語言，尋找可信賴的威脅情資、資訊安全廠商，取得提供更多、更有效的調查報告與工具。

###企業如何透過威脅情資與 MITRE ATT&CK 框架 的組合，達成資安防禦目標？

MITRE ATT&CK 框架 不僅可作為公認的技術溝通語言，也是攻擊與防禦雙方在惡意行為上的共通架構。因此 MITRE ATT&CK Matrix 可成為企業進行日常防禦行為之分類參考，以協助企業確認目前的資安狀況，更可作為滲透測試與紅隊演練基礎。

承上所述，MITRE ATT&CK 框架 與威脅情資搭配後，十分容易於實際場域使用，企業可通過其中已知使用的技術和策略的關聯來追蹤惡意族群(或稱駭客族群)，這為防禦者提供了明確的現況圖。

企業只需整理下列2項資料，即可快速查看自身單位對某些惡意族群的防範措施是否確實，並應用情資廠商提供的 IoC 與 Tool kit 即時針對弱點強化 - 
1. 目前單位的資安配置可以有效防範哪些手法
2. 目前面對的惡意族群以及其慣用的手法(可透過情資報告得知)


企業同時利用上述兩項資訊，可為特定惡意族群創建 MITRE ATT&CK Navigator entries，根據當下資安環境，以及特定惡意群體的已知資訊，作為確認自身優勢和劣勢的視覺化分析方法。如圖二所示。
![what-is-mitre-att-and-ck-matrix_pic2](https://uploads.teamt5.org/upload/original/what-is-mitre-att-and-ck-matrix_pic2.jpg)
<center>圖二: MITRE ATT&CK Navigator entries(資料來源: [MITRE](取自https://mitre-attack.github.io/attack-navigator/v2/mobile/))</center>

##總結
資安長(CISO)或資訊部門主管等高階職位，在思考資安預算的規劃與分配時，可以清楚地進行參照之外；此框架對於資安研究員、資安事件應變(incident response, IR)單位，也能夠快速的確認自身弱點，由特定手法優先著手調查。

此外，延伸到最前線的資訊部門與資訊安全監控中心(SOC)成員，也能夠非常明確地取得並匯入針對特定手法的入侵指標(Indicator of compromise, IoC)、各式防範工具。成員只需要利用本文開頭提到的格式 - STIX 格式、TAXII 傳輸機制，就能輕鬆地將這些 IoC 或工具匯入到設備、系統中。

TeamT5 杜浦數位安全建議資安團隊可以利用 MITRE ATT&CK 框架這個共通語言，不但連結攻擊與防禦雙方的溝通橋樑，也創造了資安團隊可以由上到下（戰略面-戰術面-實戰面）的溝通語言，使資安團隊能夠更加落實威脅情資報告中提出的各層面指引，以確保各層面的資安防護都能夠透過應用威脅情資報告，快速獲得強化。
 
 

*註1:「Execution(執行)」指的是惡意攻擊者執行惡意程式碼，在 Windows 中透過 Cmd 或 Powershell 執行惡意指令，甚至是程式語言（Python 或 JavaSrcript），亦有可能透過網路設備的 CLI 來進行惡意指令。
 

>TeamT5 杜浦數位安全專精於亞太地區網路威脅研究，長期研究網路攻擊，追蹤攻擊者。以精準的威脅情資與獨特的端點威脅狩獵技術，提供反制網路間諜與針對型勒索之資安解決方案。客戶來自美國、日本、臺灣，產業別涵蓋政府機關、金融、科技、電信、資安服務提供商，持續保護機密文件，阻斷網路攻擊。
>
>立刻與我們聯絡，展開企業資安防禦關鍵的一步: [https://teamt5.org/tw/request-information/](https://teamt5.org/tw/request-information/?utm_source=blog&utm_medium=website)

什麼是 MITRE ATT&CK 框架? 如何利用威脅情資搭配此資安框架並升級企業資安實力?

##About MITRE ATT&CK Matrix
MITRE is a non-profit organization in the United States that conducts various advanced technology research for the United States government. Cybersecurity is a key part of its research and development.

MITRE launched the ATT&CK (Adversarial Tactics, Techniques & Common Knowledge) concept in 2013, aiming to help enterprises and organizations have a common language and structure to understand and analyze network attack methods, and then plan cybersecurity countermeasures.

##Framework of MITRE ATT&CK Matrix 
MITRE ATT&CK Matrix is presented as a table which is easy for people to read. It also provides 2 types of info which can be automatically read by systems - 
 
**1. STIX**: A structured language for threat intelligence
 
**2. TAXII**: Threat intelligence transmission mechanism
 
##MITRE ATT&CK Matrix 3 major types
MITRE ATT&CK Matrix is ​​divided into three categories. Users can simply judge based on their own situation and refer to different tables to judge threats and plan security countermeasures.

**1. Enterprise Matrix**: Provides attack methods used on computer devices such as Windows, Linux, MacOS, etc.
 
**2. Mobile Matrix**: Provides attack methods used on mobile devices
 
**3. Pre-ATT&CK**: Provides pre-attack methods before infection
 

##Basic elements of MITRE ATT&CK Matrix
By interpreting the basic items in the MITRE ATT&CK form (see Figure 1), companies can communicate across teams and organizations more effectively.

First, explain the meaning of the table fields:
- The first column represents "Tactics": it can be understood as the goal that the attacker wants to achieve.
- The multiple items below the row represent "Techniques": they can be understood as the types of techniques used to achieve tactical goals.

![what-is-mitre-att-and-ck-matrix_pic1](https://uploads.teamt5.org/upload/original/what-is-mitre-att-and-ck-matrix_pic1.jpg)
<center>Figure 1: Enterprise Matrix (Source: [MITRE](https://attack.mitre.org/matrices/enterprise/))</center>

For example, if an attacker wants to complete the tactic "Execution" (*Note 1) numbered TA0002, he must use the technical methods underlying this tactic to complete it, such as: Deploy container, Native API, etc.

And if the vision is further improved to a complete attack behavior, the tactical sequence is usually from left to right (for reference only, the actual attack behavior will be more complicated). Therefore, a complete attack behavior may be woven from multiple "Tactics" and their corresponding "Techniques".
 
 
Secondly, we continue to dismantle MITRE ATT&CK, in which "Techniques" provides the following information:
- Describe
- Example
- Reference
- Recommendations for mitigation and detection

These contents not only help MITRE readers understand, but more importantly, users can use these common languages ​​to find trustworthy threat intelligence and cybersecurity vendors, and obtain more and more effective investigation reports and tools.

###How can enterprises achieve cybersecurity defense goals through the combination of threat intelligence and MITRE ATT&CK Matrix?
The MITRE ATT&CK Matrix not only serves as a recognized technical communication language, but also serves as a common framework for malicious behavior between attack and defense parties. Therefore, the MITRE ATT&CK Matrix can become a classification reference for enterprises’ daily defense behaviors to help enterprises confirm their current cybersecurity status, and can also serve as the basis for penetration testing and red team drills.

As mentioned above, the MITRE ATT&CK Matrix is ​​very easy to use in actual fields when paired with threat intelligence. Enterprises can track malicious groups (or hacker groups) through the correlation of known technologies and strategies. This is because defenders provide a clear picture of the current situation.

Enterprises only need to organize the following two pieces of information to quickly check whether their own unit's preventive measures against certain malicious groups are accurate, and use the IoC and Tool kit provided by intelligence vendors to immediately strengthen weaknesses -
1. What techniques can the current unit’s cybersecurity configuration effectively prevent?
2. The malicious groups we are currently facing and their usual methods (can be known through intelligence reports)


Enterprises can use the above two pieces of information at the same time to create MITRE ATT&CK Navigator entries for specific malicious groups. Based on the current security environment and the known information of specific malicious groups, enterprises can use it as a visual analysis method to confirm their own strengths and weaknesses. As shown in Figure 2.
![what-is-mitre-att-and-ck-matrix_pic2](https://uploads.teamt5.org/upload/original/what-is-mitre-att-and-ck-matrix_pic2.jpg)
<center>Figure 2: MITRE ATT&CK Navigator entries (Source: [MITRE](https://mitre-attack.github.io/attack-navigator/v2/mobile/))</center>

##Summarize
Senior positions such as Chief Information Security Officer (CISO) or head of the information technology department can have a clear understanding when thinking about the planning and allocation of the cybersecurity budget. This framework is also useful for cybersecurity researchers and the cybersecurity incident response unit to quickly identify its own weaknesses and prioritize investigation using specific methods.

In addition, members of the information department and Security Control Center (SOC) that extend to the front line can also very clearly obtain and import Indicators of Compromise (IoC) and various prevention tools for specific techniques. Members only need to use the formats mentioned at the beginning of this article - STIX format and TAXII transmission mechanism to easily import these IoC or tools into devices and systems.

TeamT5 recommends that the security team can use the MITRE ATT&CK Matrix, a common language, to not only connect the communication bridge between attack and defense, but also create a platform for the security team to move from top to bottom (strategic level - tactical level - actual combat level) The language of communication enables the cybersecurity team to better implement the guidelines at all levels proposed in the threat intelligence report to ensure that cybersecurity protection at all levels can be quickly strengthened through the application of threat intelligence reports.
 
 

*Note 1: "Execution" refers to malicious attackers executing malicious code, executing malicious instructions through Cmd or Powershell in Windows, even programming languages ​​​​(Python or JavaScript), and possibly through the Internet. The device's CLI to execute malicious commands.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan. Our endpoint detection and response solution is wardesd Golden Award from Computex - Best Choice Award. 
>
>Contact us now to take the crucial step of enterprise cybersecurity defense: https://teamt5.org/en/request-information/

關於駭客族群 APT27 的那些事

Related Post

威脅情資: 企業面對資安威脅的關鍵

ThreatSonar Anti-Ransomware 風險訂閱－訂製您的專屬風險防護

什麼是 MITRE ATT&CK 框架? 如何利用威脅情資搭配此資安框架並升級企業資安實力?