КИИ США заговорит на языке MITRE ATT&CK

Агентство по кибербезопасности и защите инфраструктуры США (CISA) представило обновлённую форму отчётности о киберинцидентах, содержащую более подробные вопросы о типах ИБ-событий и описывающую наблюдаемую активность в терминах MITRE ATT&CK.

Регулятор заявил, что повышение качества данных поможет связать угрозы с более широкими тенденциями, которые в противном случае выглядели бы как отдельные кейсы. К выпуску новой версии экспертов подтолкнули отзывы членов профессионального сообщества, полученные CISA в последние годы.

Теперь в форме присутствует вопрос о том, был ли инцидент связан с использованием вредоносного ПО, применением методов социальной инженерии или же с угрозой со стороны инсайдеров. Вопросы о зафиксированной активности в данной итерации опираются на систему MITRE ATT&CK — модель описания действий злоумышленников, которая, по оценке регулятора, хорошо знакома безопасникам.

Власти уверены: эти изменения будут способствовать проведению оперативного, но при этом всестороннего анализа угроз. «Кибербезопасность — это командная игра: то, что обнаружила одна организация, становится средством защиты для другой, — заявил и.о. замдиректора CISA по вопросам ИБ Крис Бутера. — Выполняя функции координатора по обеспечению безопасности и устойчивости критически важной инфраструктуры, CISA использует сведения о подобных инцидентах для выявления новых кампаний, предупреждения потенциальных целей и укрепления коллективной обороны страны».

На сегодняшний день обязанность сообщать регулятору об инцидентах возложена только на федеральные гражданские ведомства. Агентство призывает других предоставлять информацию на добровольной основе; при этом такие сведения не разглашаются в рамках программы Protected Critical Infrastructure Information, PCII.

Обновление данных происходит перед принятием окончательных правил, регламентирующих отчётность об ИБ-событиях (Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA). Документ направили в Белый дом для рассмотрения 1 октября, и он по-прежнему числится в списке ожидающих утверждения.

Как разъяснили в агентстве, после вступления правил в силу организации КИИ, подпадающие под их действие, должны будут уведомлять о соответствующих инцидентах в течение 72 часов с момента предполагаемого старта события и о суммах выкупа в течение 24 часов после его уплаты.

Усам Оздемиров