D3FEND foi lançado pela Mitre no final de 2022. A ideia por trás do D3FEND é ajudar os especialistas em defesas cibernéticas a compartilhar informações estratégicas e novos métodos. Segundo a empresa, é um projeto que visa complementar à estrutura ATT&CK da empresa. Mas, é importante dizer que os dois projetos são bem diferentes.
Sobre a ATT&CK e D3FEND
Para quem não está familiarizado com os termos, vamos a uma breve explicação. ATT&CK é uma base de conhecimento com uma ampla e rica estrutura para classificar ferramentas, técnicas e métodos. É por ela que todos ficam sabendo quais são as novas técnicas que os crackers (hackers mal-intencionados) estão usando.
Já o D3FEND é um gráfico com foco em analisar mitigações e outras contramedidas. Com ele é possível combinar as linguagens e técnicas voltadas para a bioinformática. Além disso Peter acrescentou em continuidade:
…estabelece a terminologia das técnicas defensivas da rede de computadores para iluminar relações anteriormente não especificadas entre métodos defensivos e ofensivos.
diz Peter Kaloroumakis, o principal engenheiro cibernético da Mitre e seu criador.
Assim, entendemos que com o D3FEND será possível aos profissionais de segurança adaptar defesas contra ameaças cibernéticas especificas. E desta forma, reduzindo a capacidade de um ataque potencial de todo um sistema.
Estrutura da D3FEND
Agora, vamos entender a estrutura da D3FEND. São três itens críticos que fazem parte da estrutura e são elas:
- Um gráfico de conhecimento que resume os métodos defensivos, extraído de uma análise de 20 anos de registros anteriores de segurança cibernética no banco de dados de patentes dos EUA. O gráfico contém uma lista de vocabulário de termos com taxonomias. Abrange cinco táticas gerais usadas para classificar cada método defensivo: harden, detect, isolate, deceive, e evict. O gráfico de conhecimento contém links para exemplos de código-fonte como ilustrações de cada técnica.
- Uma série de interfaces de usuário para acessar esses dados. O gráfico pode ser baixado em diferentes formatos, incluindo a lógica de descrição OWL2 e representações RDF. Embora esses formatos possam não ser familiares aos profissionais de infosec, eles são linguagens comuns usadas no mundo da web, semântica e modelagem de dados.
- Uma forma de mapear essas medidas defensivas para o modelo da ATT&CK.
Nossa esperança é que o D3FEND esclareça a funcionalidade específica que um produto oferece e reduza a quantidade de tempo gasto analisando os materiais de marketing do fornecedor. Queríamos estabelecer uma linguagem e um vocabulário comuns sobre métodos defensivos
diz Kaloroumakis.
Outra diferença: ATT&CK usa os protocolos STIX e TAXII para automatizar as interações com ferramentas de software de segurança de suporte, mas o D3FEND é principalmente um esforço manual – até agora. Você pode ler mais sobre o assunto no comunicado a imprensa.