Mitre ATT&CK公布2021年EDR產(chǎn)品評估報告 Bitdefender EDR檢測率全球排名第一
2021年4月20日，MITER ATT＆CK®發(fā)布了最新一輪年度EDR安全解決方案的評估報告：Carbanak+FIN7 挑戰(zhàn)。今年，全球29個網(wǎng)絡(luò)安全公司的產(chǎn)品參加了測試，它們能夠檢測出Carbanak和FIN7的攻擊。
Carbanak+FIN7簡介
Carbanak+FIN7 是臭名昭著的APT金融犯罪集團(tuán)，他們使用復(fù)雜的惡意軟件和攻擊技術(shù)，主要攻擊金融機(jī)構(gòu)，造成了一系列嚴(yán)重破壞事件。迄今為止，Carbanak已為30個國家/地區(qū)的數(shù)百家銀行造成了超過3億美元的損失，而FIN7則從全球受害者手中竊取了超過1500萬張信用卡記錄。
他們在利用創(chuàng)新攻擊技術(shù)方面享有盛譽(yù)。高效的間諜活動和隱身性是他們戰(zhàn)略的重中之重，他們嚴(yán)重依賴腳本編寫，模糊處理，“隱藏在視線范圍內(nèi)”，在掠奪環(huán)境的同時充分利用機(jī)器背后的用戶。他們還利用獨特的攻擊工具，涵蓋復(fù)雜的惡意軟件和廣泛的系統(tǒng)平臺，包括Windows和Linux。
Bitdefender在2019年專門發(fā)布了針對Carbanak的研究報告，詳細(xì)請參閱：Bitdefender-Carbanak研究報告
為什么Mitre ATT&CK®的評估具有很高的價值
Mitre ATT&CK®評估利用了網(wǎng)絡(luò)安全行業(yè)測試中獨有的方法。MITER不僅測試了EDR解決方案檢測和阻止網(wǎng)絡(luò)威脅的能力，還精心模擬了復(fù)雜攻擊的全部行為。MITER要求在評估過程中關(guān)閉被測產(chǎn)品的攔截功能。這種方法詳細(xì)揭示了解決方案中嵌入的各種技術(shù)層的功能，可以檢測，分析，提供攻擊殺傷鏈的所有階段/子階段的遙測和可見性。
廣泛的MITER ATT＆CK知識庫有助于構(gòu)建測試方法，因為它提供了整個網(wǎng)絡(luò)安全行業(yè)的通用詞匯表和一致性。MITRE ATT＆CK評估的價值在于能夠分析測試解決方案的魯棒性和完整性。這使得該測試對于不僅對自動阻止攻擊能力感興趣的組織，而且對于希望在整個執(zhí)行階段抵抗高級攻擊的組織都非常有意義。在安全運營中使用MITRE的方法可以極大地增強(qiáng)組織的網(wǎng)絡(luò)彈性，并提高網(wǎng)絡(luò)防御者發(fā)現(xiàn)和收集對敵活動有價值的見解的機(jī)會。
如何使用MITER ATT＆CK報告來指導(dǎo)您的網(wǎng)絡(luò)安全決策？
MITER評估的一個不尋常的特征是沒有競爭性排名，從而導(dǎo)致各種解釋，使得普通用戶很難理解測試結(jié)果?？傮w而言，MITRE ATT＆CK評估結(jié)果包含如下幾個關(guān)鍵指標(biāo)：
檢測 - 可以用來識別對手行為的任何原始或處理信息。此度量標(biāo)準(zhǔn)包括原始遙測（例如“進(jìn)程啟動”或“文件創(chuàng)建”）和分析檢測（例如“常規(guī)檢測”，“戰(zhàn)術(shù)”或“攻擊技術(shù)”）。檢測計數(shù)代表所有類型的檢測總數(shù)。請注意，攻擊中包含的174個子步驟中的任何一個都可以具有多個檢測（因此，“檢測”的總數(shù)可以超過子步驟的數(shù)量）。
遙測覆蓋 - 可以進(jìn)行遙測的子步驟數(shù)。
分析 - 任何經(jīng)過處理的檢測，例如應(yīng)用于遙測的規(guī)則或邏輯（例如ATT＆CK技術(shù)映射或警報描述）。
分析覆蓋率 - 1個或多個分析可用的子步驟數(shù)。
可見性 - 可以進(jìn)行分析或遙測的子步驟數(shù)。
Mitre ATT&CK® Carbanak+FIN7 評估結(jié)果
- 檢測排行，Bitdefender以366的檢測排名第一
- 分析覆蓋排行
- 遙測覆蓋排行
- 可見性排行
Mitre ATT&CK® Carbanak+FIN7挑戰(zhàn)—中國市場EDR產(chǎn)品結(jié)果匯總
由于很多EDR產(chǎn)品在中國市場上沒有銷售，因此單獨為中國市場銷售的EDR產(chǎn)品做排行對比。而亞信安全的EDR屬于OEM產(chǎn)品，不等于TrendMicro的原裝產(chǎn)品，產(chǎn)品具有很大差異性，因此亞信安全的結(jié)果不統(tǒng)計在如下圖片中。
EDR評估排行：Bitdefender > Symantec > McAfee
指標(biāo)解讀—哪些指標(biāo)與您的組織相關(guān)？
接下來，您將要了解與您最相關(guān)的指標(biāo)。通常，檢測與任何組織都息息相關(guān)，因為解決方案能夠檢測到的攻擊元素越多，其有效性就越高。
在擁有安全運營中心（SOC）的組織中，遙測覆蓋是一項有價值的度量標(biāo)準(zhǔn)，在安全運營中心中，存在用于進(jìn)一步分析原始信息的工具，資源和專有技術(shù)。
分析覆蓋指標(biāo)為檢測提供了上下文。可行的分析有助于降低警報疲勞的風(fēng)險，并降低安全分析師所需的調(diào)查工作。對于資源受限的IT和安全運營團(tuán)隊的組織而言，這使得分析覆蓋成為極有價值的指標(biāo)。
可見性是原始檢測（遙測覆蓋）和上下文警報（分析覆蓋）的組合，可提供解決方案提供攻擊元素可見性能力的一般視圖。
總結(jié)
在參加MITER ATT＆CK評估的29家網(wǎng)絡(luò)安全廠商中，BitDefender 以366的檢測排名第一，檢測到100％的針對Linux系統(tǒng)的攻擊技術(shù)，檢測次數(shù)最多，可檢測范圍最廣的網(wǎng)絡(luò)威脅，其檢測數(shù)量比Symantec檢測數(shù)量高出近50％。
Bitdefender還提供了優(yōu)秀的分析洞察力來實現(xiàn)有效的安全操作并減少警報疲勞，在測試中脫穎而出。 其他許多供應(yīng)商在沒有附加上下文的情況下生成的大量遙測數(shù)據(jù)，將給安全團(tuán)隊的調(diào)查工作帶來更大的負(fù)擔(dān)和工作量。
此次的測試結(jié)果充分證明了Bitdefender EDR頂級的安全能力，Bitdefender EDR安全平臺是中大型企業(yè)的最佳選擇。
閱讀完整的評估報告：
https://attackevals.mitre-engenuity.org/enterprise/carbanak_fin7/
