Τροποποίηση και αξιολόγηση σεναρίων adversary emulation στο MITRE CALDERA

Abstract

Η παρούσα πτυχιακή εργασία εξετάζει τη χρονική και συμπεριφορική διαφοροποίηση των σεναρίων adversary emulation με τη χρήση της πλατφόρμας MITRE CALDERA. Η μελέτη επικεντρώνεται στη διερεύνηση του τρόπου με τον οποίο η χρονική κατανομή των επιθετικών ενεργειών και η ενσωμάτωση καλοήθους δραστηριότητας επηρεάζουν τη συνολική εικόνα της εκτέλεσης ενός σεναρίου κυβερνοεπίθεσης.

Στο πλαίσιο της εργασίας δημιουργήθηκε ένα ελεγχόμενο εργαστηριακό περιβάλλον μέσω του Oracle VM Virtual Box, αποτελούμενο από Virtual Machines και ειδικότερα από τα Kali Linux, Windows 10 και Debian. Σε αυτό το περιβάλλον εγκαταστάθηκαν ο Server του MITRE CALDERA, ο Sandcat Agent και η πλατφόρμα Wazuh για την συλλογή και την παρακολούθηση των events. Ως βασικό σενάριο χρησιμοποιήθηκε το Discovery Adversary Profile του MITRE CALDERA, στο οποίο εφαρμόστηκαν δύο κατηγορίες τροποποιήσεων: η εισαγωγή χρονικών καθυστερήσεων μεταξύ συγκεκριμένων ενεργειών και η ενσωμάτωση καλοήθους δραστηριότητας μεταξύ βημάτων του σεναρίου.

Η αξιολόγηση βασίστηκε στη σύγκριση του αρχικού σεναρίου με τα τροποποιημένα σενάρια, μέσω της ανάλυσης των καταγραφών του CALDERA, των Windows Event Logs και των δεδομένων που συλλέχθηκαν από το Wazuh. Η μελέτη επικεντρώθηκε στη συνολική διάρκεια της εκτέλεσης, στη χρονική κατανομή της δραστηριότητας και στον χρόνο πρώτης ανίχνευσης μέσω της πλατφόρμας Wazuh.

Τα αποτελέσματα έδειξαν ότι, παρότι οι τεχνικές του MITRE ATT&CK που χρησιμοποιήθηκαν παρέμειναν αμετάβλητες, η εισαγωγή χρονικών καθυστερήσεων και καλοήθους δραστηριότητας μετέβαλαν τη χρονική και συμπεριφορική εικόνα της εκτέλεσης του σεναρίου, συμβάλλοντας στη διαμόρφωση πιο ρεαλιστικών σεναρίων adversary emulation στο πεδίο της κυβερνοασφάλειας.