CAPEC: hoe een aanval een zwakte uitbuit

Waar een aanvalspatroon voor is

CAPEC biedt een gemeenschappelijk vocabulaire om te beschrijven hoe een aanval werkt, ongeacht het beoogde product. Bij elke invoer worden de vereisten van de aanvaller vermeld, de uitvoeringsstappen, de vereiste vaardigheden, de misbruikte zwakke punten en de bekende tegenmaatregelen.

Voor een defensief team is het een hulpmiddel voor het modelleren van bedreigingen: elke zwakke plek die in uw code wordt geïdentificeerd, wordt gekoppeld aan gedocumenteerde aanvalspatronen, en dus aan verdedigingsmechanismen die u kunt identificeren zonder dat u ze hoeft uit te vinden.

Een patroon stap voor stap: CAPEC-66, SQL-injectie

Een CAPEC-invoer leest als een draaiboek. Hier is CAPEC-66 samengevat in vier stappen:

1. Ontdek. De aanvaller stuurt in elk formulierveld één enkele quote en bekijkt de foutmeldingen. Een SQL-syntaxisfout die op het scherm wordt weergegeven, is al een antwoord.
2. Sonde. Ze injecteren een altijd-waar-voorwaarde om te zien of de zoekopdracht zich anders gedraagt, en meten vervolgens de reactietijden wanneer er geen bericht verschijnt.
3. Exploitatie. Ze koppelen een tweede query om de databasestructuur te extraheren en vervolgens de inhoud ervan.
4. Volhouden. Afhankelijk van de rechten van het databaseaccount schrijven ze een bestand naar de server of maken ze een applicatieaccount aan.

De misbruikte zwakte is CWE-89. De tegenmaatregelen die in het artikel worden vermeld, zijn standaard en effectief: voorbereide verklaringen, strikte invoervalidatie, een database-account met de minste bevoegdheden, foutmeldingen die de klant niets onthullen. Die continuïteit – van de zet van de aanvaller tot de regel code die je moet schrijven – maakt de catalogus waardevol.

Een paar veelvoorkomende patronen

De volledige catalogus bevat meer dan 600 patronen. Het wordt gepubliceerd door MITRE op capec.mitre.org.

Drie niveaus van abstractie

Patronen bestaan op verschillende schaalniveaus, en het door elkaar halen van de niveaus is de belangrijkste bron van misverstanden:

• Meta: een algemene strategie, bijvoorbeeld ‘injecteren’. Handig voor het inrichten van een workshop over het modelleren van dreigingen.
• Standaard: een identificeerbare techniek, bijvoorbeeld SQL-injectie. Dit is het niveau waarmee u dagelijks kunt werken.
• Gedetailleerd: een precieze implementatie, gekoppeld aan specifieke CWE’s. Dit is het penetratietestniveau.

Begin algemeen en werk af naar de details: een workshop die begint bij de Gedetailleerd niveau gaat verloren in randgevallen voordat het de grote families bestrijkt.

CAPEC of MITRE ATT&CK?

Beide catalogi komen van dezelfde uitgever en worden vaak door elkaar gehaald. Ze beschrijven verschillende momenten:

Een ontwikkelteam werkt met CAPEC; een beveiligingsoperatiecentrum werkt met ATT&CK. De twee ontmoeten elkaar bij de eerste toegang, het laatste hoofdstuk van de eerste en het eerste hoofdstuk van de laatste.

Wat het voor u betekent, in de praktijk

CAPEC is geen catalogus om van dag tot dag in de gaten te houden; er verandert niet veel. Het is op twee momenten nuttig: wanneer u een gevoelige functie ontwerpt (authenticatie, bestandsupload, een oproep naar een service van derden), door de bekende patronen op te sommen die erop gericht zijn; en als je de mogelijkheden voor een penetratietest opschrijft, door de patronen te benoemen die je wilt bestrijken, in plaats van te vragen om ‘een pentest’.