Erklärt · MITRE D3FEND®
Eine gemeinsame Sprache für Verteidigung
„Wir sind gut abgesichert“ ist eine Behauptung. D3FEND macht daraus eine Frage, die sich beantworten lässt. Es ist ein offener Katalog von MITRE, der Verteidigungsmaßnahmen einheitlich benennt und ordnet. Das Gegenstück auf der Angriffsseite ist MITRE ATT&CK®, das beschreibt, wie Angreifer vorgehen. D3FEND beschreibt, was man dagegen tun kann.
Sieben Taktiken, ein Kreislauf
Wissen, was da ist: Inventar, Abhängigkeiten, Netzplan, Risiko.
Angriffe teurer machen, bevor sie passieren: Anmeldung, Updates, Konfiguration.
Merken, dass etwas passiert: Logs, Integrität, Verhalten.
Den Schaden klein halten: Netze trennen, Rechte begrenzen, Verkehr filtern.
Angreifer auf Köder lenken: Honeypots, Köder-Zugangsdaten.
Angreifer hinauswerfen: Konten sperren, Sitzungen beenden, Prozesse stoppen.
Zurück zum guten Stand: Backups, Zugänge, Konfiguration.
Aufbau: vom Groben ins Feine
Jede Taktik enthält Basis-Techniken, und viele davon haben Sub-Techniken. Jede Technik hat eine feste Kennung, damit alle über dasselbe sprechen.
Darunter liegt eine Ontologie: Techniken wirken auf digitale Artefakte wie Datei, Prozess, Anmeldung oder Netzwerkverbindung. Über diese Artefakte ist D3FEND mit ATT&CK verknüpft. Man kann also fragen: „Welche meiner Maßnahmen berührt das Artefakt, das dieser Angriff missbraucht?“
So nutzt du es für dein eigenes Homelab
- Abbilden. Gehe die Techniken Taktik für Taktik durch und schreibe auf, was bei dir dazu existiert, auch wenn es wenig ist.
- Ehrlich bewerten. Vier Stufen genügen: umgesetzt, teilweise (oder nie verifiziert), offen, nicht anwendbar.
- „Nicht anwendbar“ ist kein Versteck. Gemeint ist strukturelle Abwesenheit: kein Mailserver, kein Industrie-Bus. Solche Techniken fallen aus der Rechnung, sie heben die Quote nicht.
- Quote rechnen. Teilweise zählt halb.
Abdeckung = (umgesetzt + ½ teilweise) ÷ anwendbar - Lücken zu Aufgaben machen. Jede rote Fläche wird ein Ticket mit Priorität, nicht ein schlechtes Gewissen.
- Wiederholen. Neue Dienste, neue Techniken, neue Erkenntnisse. Eine Bewertung hat eine Halbwertszeit.
Was D3FEND nicht ist
Keine Sicherheitsnote
Hohe Abdeckung heißt, dass viele Maßnahmen existieren. Ob sie gut gemacht sind, steht auf einem anderen Blatt.
Kein Penetrationstest
Eine Selbstbewertung beruht auf Dokumentation und Konfiguration. Ein Angriffstest prüft, ob sie in der Praxis hält.
Keine Checkliste zum Abhaken
Viele Techniken sind für ein Homelab irrelevant, zum Beispiel Strahlungshärtung. Der Wert liegt im Ordnen und im Finden blinder Flecken.
Diese Seite verwendet Inhalte aus MITRE D3FEND®: die Namen und Kennungen der Taktiken und Techniken (Version 1.5.0). © The MITRE Corporation. MITRE gewährt eine nicht-exklusive, gebührenfreie Lizenz zur Nutzung von D3FEND für Forschung, Entwicklung und kommerzielle Zwecke; jede Kopie muss den Copyright-Vermerk von MITRE und diese Lizenz wiedergeben. Vollständige Bedingungen: d3fend.mitre.org/tou. MITRE D3FEND und das MITRE-D3FEND-Logo sind Marken der MITRE Corporation, MITRE ATT&CK ist eine eingetragene Marke der MITRE Corporation. Diese Seite ist kein Angebot von MITRE und wird von MITRE weder unterstützt noch empfohlen. Alle Bewertungen im Würfel stammen aus dem erfundenen Beispiel oder aus deinen eigenen Antworten.