{"id":307414,"date":"2023-11-05T17:48:28","date_gmt":"2023-11-06T01:48:28","guid":{"rendered":"https:\/\/www.paloaltonetworks.com\/blog\/?p=307414"},"modified":"2023-11-20T01:09:10","modified_gmt":"2023-11-20T09:09:10","slug":"mitre-engenuity-attck-evaluations-results","status":"publish","type":"post","link":"https:\/\/origin-researchcenter.paloaltonetworks.com\/blog\/2023\/11\/mitre-engenuity-attck-evaluations-results\/?lang=de","title":{"rendered":"NUR Cortex erreichte bei MITRE Engenuity 100 % Schutz und Erkennung"},"content":{"rendered":"

<\/p>\n

Die Ergebnisse der MITRE Engenuity ATT&CK-Evaluierung 2023 sind da und nur Cortex\u00a0XDR hat sowohl beim Schutz als auch bei der analysebasierten Erkennung ohne Konfigurations\u00e4nderungen oder verz\u00f6gerte Erkennungen 100\u00a0% erzielt.<\/h3>\n

Nach der Ver\u00f6ffentlichung der Ergebnisse der f\u00fcnften Runde der MITRE Engenuity ATT&CK-Evaluierungen wollen nat\u00fcrlich alle Anbieter \u00fcberall 100\u00a0% erzielt haben, doch die Wahrheit steckt in den Details und die Daten l\u00fcgen nicht. In diesem Jahr erzielte nur Cortex 100\u00a0% f\u00fcr Abwehr und f\u00fcr analysebasierte Erkennung.
\n

\"Ergebnisse<\/span><\/div>
Diese Abbildung stammt direkt von der Website der MITRE Engenuity ATT&CK-Bewertungen<\/a>\u00a0und zeigt die Ergebnisse des ersten Erkennungstests der Turla-Evaluierung von 2023.<\/figcaption><\/figure><\/p>\n

Angesichts der sich st\u00e4ndig zuspitzenden Cybersicherheitslage ist es heute wichtiger als je zuvor, Widersachern einen Schritt voraus zu bleiben, die unerm\u00fcdlich neue und immer raffiniertere Methoden zur Umgehung von Sicherheitsma\u00dfnahmen finden. Es ist ein gef\u00e4hrlicher Kampf, bei dem den Verlierern katastrophale Konsequenzen drohen.<\/p>\n

In diesem Kampf ist MITRE Engenuity ein wichtiger B\u00fcndnispartner f\u00fcr Unternehmen, denn seine ATT&CK-Evaluierungen bringen Klarheit in das Chaos der zahlreichen angebotenen Sicherheitsl\u00f6sungen. Diese Evaluierungen haben sich als unsch\u00e4tzbar wertvolle Ressource f\u00fcr CISOs, Sicherheitsprofis und alle Anderen etabliert, die f\u00fcr die Sicherung der digitalen Assets ihres Arbeitgebers verantwortlich sind. MITRE ATT&CK Engenuity emuliert die Methoden der einfallsreichsten Cybersaboteure, um die Leistung der einzelnen Endpunktsicherheitsl\u00f6sungen auf Herz und Nieren zu testen.<\/p>\n

Doch was genau geschieht bei diesen Evaluierungen und was k\u00f6nnen Sie den Ergebnissen entnehmen? F\u00fcr jede der j\u00e4hrlichen Evaluierungen werden eine oder mehrere aktuell besonders umtriebige und ber\u00fcchtigte Angreifergruppe(n) ausgew\u00e4hlt und deren Taktiken, Techniken und Prozesse (TTP) emuliert. Dann l\u00e4dt das Red Team von MITRE Engenuity Anbieter von Cybersicherheitsl\u00f6sungen ein, sowohl im reinen Erkennungs- als auch im Pr\u00e4ventionsmodus auf die sorgf\u00e4ltig choreografierten Angriffe zu reagieren. Die Ergebnisse bieten Einblicke in drei F\u00e4higkeiten der L\u00f6sungen:<\/p>\n

    \n
  1. Transparenz<\/strong>\u00a0\u2013 was eine L\u00f6sung sehen kann<\/li>\n
  2. Erkennung<\/strong>\u00a0\u2013 welche Aktivit\u00e4ten die L\u00f6sung korrekt als b\u00f6sartig identifizieren kann<\/li>\n
  3. Schutz<\/strong>\u00a0\u2013 welche b\u00f6sartigen Aktivit\u00e4ten die L\u00f6sung unterbinden kann<\/li>\n<\/ol>\n

    Die erstaunlich hohe Anzahl der Teilnehmer\u00a0\u2013 in diesem Jahr waren es 29\u00a0\u2013 ist vielleicht die beste Anerkennung f\u00fcr die viele M\u00fche, die MITRE Engenuity in die Zusammenstellung der anspruchsvollen und provokativen Tests investiert.<\/p>\n

    <\/a>Runde 5 (Turla)<\/h2>\n

    F\u00fcr die diesj\u00e4hrige, f\u00fcnfte Evaluierung hat das Red Team von MITRE Engenuity die Methoden von\u00a0Turla<\/a>\u00a0emuliert, einer Angreifergruppe, deren Aktivit\u00e4ten\u00a0von den Bedrohungsforschern unserer Unit\u00a042 bereits ausgiebig untersucht<\/a>\u00a0 wurden. Turla ist eine finanziell au\u00dferordentlich gut aufgestellte und technisch versierte, in Russland ans\u00e4ssige Hackergruppe, die bereits Ziele in \u00fcber 45\u00a0L\u00e4ndern infiziert hat, darunter Regierungsbeh\u00f6rden, milit\u00e4rische Einheiten, diplomatische Einrichtungen sowie Forschungs- und Medieninstitute. Die Gruppe ist insbesondere f\u00fcr ihre getarnten Ausschleusungstaktiken ber\u00fcchtigt, f\u00fcr die zum Beispiel die Websites von Regierungen f\u00fcr Watering-Hole-Angriffe ausgenutzt, eigens Rootkits angepasst, aufwendige Command-and-Control-Netzwerke eingerichtet und durchtriebene Ablenkungsman\u00f6ver inszeniert werden. Aus Gespr\u00e4chen mit Teilnehmern geht hervor, dass MITRE Engenuity sich in diesem Jahr selbst \u00fcbertroffen hat, was die Raffinesse der emulierten Angriffsmethoden betrifft.<\/p>\n

    Unser Blue Team hat Cortex\u00a0XDR Pro auf Endpunktagenten auf Windows- und Linux-Systemen installiert. Es wurden keine weiteren L\u00f6sungen eingesetzt und Cortex\u00a0XDR wurde mit den Standardeinstellungen implementiert, mit denen das Produkt verkauft wird. Als einzige \u00c4nderungen wurden die Isolierung sch\u00e4dlicher Dateien und (f\u00fcr Linux) die Behandlung von Grayware als Malware aktiviert.<\/p>\n

    <\/a>Wichtige Kennzahlen und Evaluierungskriterien<\/h2>\n

    Die diesj\u00e4hrige Evaluierung begann mit zwei Szenarien f\u00fcr den reinen Erkennungsmodus, die nach ber\u00fcchtigten, von Turla entwickelten und eingesetzten Tools Carbon und Snake genannt wurden. Die anschlie\u00dfende Evaluierung des Pr\u00e4ventionsmodus nutzte dieselben Techniken, aber mit genug Zufallsvariationen, um sicherzustellen, dass die Tests nicht f\u00fcr beide Modi identisch waren. Die beiden Erkennungsszenarien bestanden aus je zehn Schritten mit mehreren Teilschritten, die im MITRE ATT&CK Framework enthaltenen Techniken entsprachen. Insgesamt gab es 143\u00a0Teilschritte, die potenziell von jedem Anbieter aufgedeckt werden konnten. Das Team von MITRE Engenuity protokollierte f\u00fcr jeden Teilschritt und jede L\u00f6sung, ob die Aktion erkannt wurde.<\/p>\n

    Dabei wurde auch das Niveau der Erkennung festgehalten.<\/p>\n

    MITRE Engenuity nutzt die folgenden Erkennungskategorien:<\/p>\n