Com a sofisticação dos crimes cibernéticos, as aplicações se tornaram um alvo cada vez mais atrativo para os atacantes. Isso porque essas superfícies, geralmente, são menos protegidas, apesar de causarem impactos gigantescos quando invadidas.
Além disso, considerando que as empresas adotam, cada vez mais, soluções baseadas em nuvem, o cenário torna-se ainda mais complexo e devastador.
Foi compreendendo esse contexto que surgiu o Application Attack Matrix, um framework pensado para identificar e mitigar riscos associados a aplicações.
Neste artigo, você irá entender o que é o Application Attack Matrix, qual sua relevância e benefícios, e como utilizá-lo.
O que é Application Attack Matrix?
Application Attack Matrix é um framework criado pela comunidade, que organiza e categoria técnicas, táticas e procedimentos usados por agentes maliciosos para atacar aplicações.
Ele foi baseado no modelo da MITRE ATT&CK, mas modernizado e mais condizente com as necessidades atuais, nas quais o vetor de ataque se desloca das camadas tradicionais de infraestrutura para a superfície complexa de aplicações nativas em nuvem, APIs, containers e ambientes serverless.
Por que a Application Attack Matrix surgiu?
Conforme apontaram os criadores do framework, as explorações de vulnerabilidades continuam entre os principais métodos utilizados nos últimos anos para invadir organizações.
Além disso, as arquiteturas foram se transformando ao longo do tempo, o que fez com que o cenário de ameaças também evoluísse.
Sendo assim, as abordagens tradicionais de segurança, focadas em redes ou em sistemas operacionais, tornaram-se insuficientes para garantir a proteção do ativo.
Ou seja, o Application Attack Matrix fornece um framework adaptado à realidade de como os ataques realmente ocorrem no mundo de aplicações modernas, desde o abuso de permissões até manipulações em bibliotecas open-source.
Fases de um Ataque a Aplicações
O Application Attack Matrix trabalha com quatro fases em um ataque direcionado a aplicações:
- Pré-intrusão: etapa de preparação, coleta de informações e escolha ou construção das ferramentas.
- Intrusão: início do ataque e execução de código malicioso.
- Pós-intrusão: estabelecimento do controle sobre a aplicação.
- Impacto: execução dos objetivos do ataque, incluindo a paralisação das operações.
Como usar o Application Attack Matrix na prática
A ferramenta pode ser utilizada de diferentes formas. A recomendação dos criadores do Application Attack Matrix é:
- Para CISOs e Líderes
Identifique quais vetores de ataque representam maior ameaça.
Direcione os recursos para as ameaças mais relevantes para a organização.
Crie e estabeleça uma estratégia de segurança que contemple todas as fases de um ataque.
- Para Times de Segurança de Aplicações
Faça Threat Modeling, mapeando aplicações, APIs e pipelines para encontrar pontos cegos.
Desenvolva e execute testes profundos.
Analise os controles de segurança já existentes e se eles contemplam as técnicas indicadas no framework.
- Para Analistas de Segurança
Crie regras de detecção para TTPs específicos da aplicação.
Investigue como um acesso inicial causou o impacto e analise o potencial de comprometimento da aplicação.
Crie cenários realistas em exercícios de Purple Team, usando as técnicas mencionadas no framework.
FAQ: Perguntas Frequentes sobre o Application Attack Matrix
-
O Application Attack Matrix substitui o MITRE ATT&CK?
Não exatamente. Ela complementa o MITRE ATT&CK com foco específico em aplicações modernas, enquanto o ATT&CK cobre vetores mais amplos (infra, rede, endpoint).
-
Essa matriz é voltada apenas para times ofensivos?
Não. Blue Teams, engenheiros de segurança de produto e times de AppSec também podem utilizar.
-
Existe uma versão oficial da matriz?
Sim, disponível em https://app-attack-matrix.com/
Há mais de 4 anos no mercado e com centenas de clientes atendidos, a Vantico trabalha com a Segurança de Aplicações, utilizando metodologias validadas com testers experientes.
Quer saber mais sobre o nosso trabalho? Clique aqui e fale conosco.
Siga a Vantico nas redes sociais e fique informado sobre cibersegurança, tecnologia e insights.
