MITRE ATT&CK - Técnica

T1001.003: Protocol or Service Impersonation

Protocol or Service Impersonation (T1001.003) é uma técnica catalogada no MITRE ATT&CK Enterprise usada como referência para mapear comportamento adversário em auditorias de segurança.

Técnica T1001.003 Enterprise ATT&CK

Contexto para AppSec

Em uma auditoria de AppSec, Protocol or Service Impersonation deve ser usada para revisar caminhos em que código, configuração, dependências ou infraestrutura podem viabilizar o comportamento descrito pela MITRE. No ATT&CK, ela aparece em Command and Control. As plataformas mapeadas pela MITRE incluem ESXi, Linux, macOS e Windows. No Vigly, esse contexto ajuda a conectar evidências do repositório com priorização e remediação.

Tática/fase Command and Control
Plataformas MITRE ESXi, Linux, macOS, Windows

Descrição oficial original do MITRE ATT&CK

Adversaries may impersonate legitimate protocols or web service traffic to disguise command and control activity and thwart analysis efforts. By impersonating legitimate protocols or web services, adversaries can make their command and control traffic blend in with legitimate network traffic. Adversaries may impersonate a fake SSL/TLS handshake to make it look like subsequent traffic is SSL/TLS encrypted, potentially interfering with some security tooling, or to make the traffic look like it is related with a trusted entity. Adversaries may also leverage legitimate protocols to impersonate expected web traffic or trusted services. For example, adversaries may manipulate HTTP headers, URI endpoints, SSL certificates, and transmitted data to disguise C2 communications or mimic legitimate services such as Gmail, Google Drive, and Yahoo Messenger.

Ver fonte oficial no MITRE ATT&CK

Como o Vigly audita a técnica Protocol or Service Impersonation automaticamente na sua pipeline

O Vigly cruza sinais de SAST, modelagem de ameaças, regras de negócio e evidências do repositório para priorizar riscos reais antes que eles cheguem à produção.

Conhecer a plataforma