解码 MITRE Engenuity ATT&CK 企业评估：真实环境中 EDR 性能的分析
密码学与安全
2024-04-24 v2
摘要
端点检测与响应（EDR）系统已成为企业安全解决方案的关键组件，能够有效对抗具有扩展生命周期的 APT 攻击等端点威胁。鉴于端点检测与响应（EDR）系统日益增长的重要性，许多网络安全提供商开发了专有的 EDR 解决方案。对于用户而言，评估这些检测引擎的能力以做出明智的产品选择决策至关重要。鉴于市场规模预计到 2023 年将达到约 37 亿美元且仍在扩大，这一点尤为紧迫。MITRE 是网络威胁分析领域的领先组织。2018 年，MITRE 开始进行涵盖全球主要 EDR 供应商的年度 APT 模拟。指标包括遥测、检测和拦截能力等。然而，MITRE 发布的评估结果不包含任何进一步的解释或建议。在本文中，我们全面分析了 MITRE 评估结果，以进一步了解测试中真实环境的 EDR 系统。具体而言，我们设计了一种全图分析方法，利用额外的控制流和数据流信息来衡量 EDR 系统的性能。此外，我们从多个方面分析了 MITRE 评估多年来的结果，包括检测覆盖率、检测置信度、检测修饰符、数据源、兼容性等。通过上述研究，我们汇编了详尽的发现总结，并从评估结果中获得了有价值的见解。我们相信这些总结和见解可以帮助研究人员、从业者和供应商更好地了解主流 EDR 产品的优势和局限性。
引用
@article{arxiv.2401.15878,
title = {Decoding the MITRE Engenuity ATT&CK Enterprise Evaluation: An Analysis of EDR Performance in Real-World Environments},
author = {Xiangmin Shen and Zhenyuan Li and Graham Burleigh and Lingzhi Wang and Yan Chen},
journal= {arXiv preprint arXiv:2401.15878},
year = {2024}
}
备注
16 pages, 7 figures, to appear in AsiaCCS 2024