Фреймворк MITRE ATT&CK помогает миру ИБ системно оценивать угрозы. Узнайте, как в рамках этой матрицы EDR, NGFW и DNS Security видят угрозы, где проходят границы их эффективности и почему DNS-защита становится первым эшелоном обороны.
Современные атаки редко ограничиваются одной техникой, они следуют цепочке действий, описанных в MITRE ATT&CK. Чтобы эффективно противостоять этим техникам, важно понимать, на каком этапе работают те или иные средства защиты и какие угрозы они видят. В этом контексте особенно ценно место DNS-защиты как самого раннего и часто единственного барьера для предотвращения «тихих» атак.
MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) — это открытая база знаний, описывающая реальные действия злоумышленников на разных этапах кибератаки. Она разработана американской некоммерческой организацией MITRE.
Вся структура MITRE ATT&CK основана на следующих компонентах:
По сути, MITRE ATT&CK — это практическая «карта» действий злоумышленников. Она задает единую терминологию и помогает выстраивать оборону понятными шагами:
Это также международный стандарт, на основе которого выстраивают современные фреймворки угроз, включая NIST, ENISA и корпоративные политики в сфере информационной безопасности.
DNS в этой модели играет роль ключевого транспортного протокола, особенно в тактиках:
Рассмотрим, как различные средства защиты — EDR/AV, NGFW и DNS Security — действуют на этих этапах, и почему DNS-защита SkyDNS становится ключевым звеном в предотвращении атак.
На этом этапе злоумышленники проникают в сеть с помощью фишинга, уязвимостей в IoT-устройствах или неправильно настроенных маршрутизаторов.
После проникновения вредоносное ПО связывается с внешними серверами, получая команды от злоумышленников. Для сокрытия трафика часто используются DGA-домены и DNS-туннелирование.
Одной из самых сложных задач является выявление скрытого вывода данных. Всё чаще злоумышленники кодируют утечку в структуре DNS-запросов.
Речь идет о перегрузке сетей и нарушении работы сервисов через атаки типа DNS-amplification и reflection.
Атакующий может использовать DNS-запросы, чтобы понять архитектуру сети и найти уязвимые сегменты.
На этапе подготовки атаки злоумышленники формируют инфраструктуру, которую впоследствии используют для проникновения и управления. DNS здесь выступает критическим активом: атакующие регистрируют вредоносные домены, настраивают динамические разрешения (DGA, Fast Flux) или компрометируют легитимные DNS-серверы.
После проникновения атакующий стремится остаться незамеченным. DNS-туннелирование и маскировка C2-трафика под легитимные запросы — один из самых эффективных способов обойти сегментацию сети, NGFW и сигнатурные системы.
С точки зрения MITRE ATT&CK, DNS Security закрывает целый ряд тактик: Reconnaissance, Resource Development, Initial Access, Command & Control, Exfiltration, Impact, Defense Evasion и частично Discovery.
В актуальной версии v18 MITRE добавил отдельные Detection Strategies (DET) и Analytics (AN) для DNS-аномалий, например, DET0400 «Behavioral Detection of DNS Tunneling and Application Layer Abuse». Внедрение этих аналитик на уровне DNS-резолвера позволяет сократить время детекции и повысить точность обнаружения скрытых коммуникаций в рамках Kill Chain.
DNS Security — не замена другим средствам защиты, а критически важный первый эшелон, особенно при противодействии скрытым и сложным атакам. Благодаря раннему обнаружению подозрительных доменов, туннелей и нестандартных DNS-паттернов, такие решения, как SkyDNS, позволяют выявлять угрозы до их реализации, сокращать время скрытого пребывания злоумышленника (dwell time) и снижать риск инцидентов.
В сочетании с EDR, NGFW и SIEM система DNS Security формирует цельный, устойчивый контур защиты, соответствующий современным требованиям корпоративной кибербезопасности.
