Intégration MITRE ATT&CK¶

Stentor comprend une base de connaissances MITRE ATT&CK intégrée avec 85 définitions de techniques (62 techniques MITRE officielles + 23 techniques internes personnalisées). La base de connaissances alimente les fonctions de reporting technique, de conseils OPSEC et de script CNA.

Base de connaissances¶

Les définitions de techniques sont stockées sous forme de fichiers YAML dans server/knowledge_base/techniques/. Chaque fichier contient :

• ID technique (MITRE ou interne)
• Nom et description
• Cartographie tactique (séparés par des virgules pour les techniques multi-tactiques)
• Méthodes d'exécution avec schémas de paramètres
• Conseils OPSEC – niveau de risque, indicateurs de détection et mesures d'atténuation
• Artefacts médico-légaux attendus : sources du journal des événements, ID d'événement et descriptions
• Techniques associées

Couverture¶

La base de connaissances couvre les techniques de toutes les principales tactiques ATT&CK :

Fonctions de script CNA¶

Six fonctions attack_* fournissent un accès par programmation à la base de connaissances :

Exemples¶

# Look up a technique
println("Name: " . attack_name("T1003.001"));
# → OS Credential Dumping: LSASS Memory

println("URL: " . attack_url("T1003.001"));
# → https://attack.mitre.org/techniques/T1003/001/

# Get detection guidance
println("Detection:\n" . attack_detect("T1003.001"));
# → Suspicious API calls detected
# → Unusual memory allocation patterns

# Get associated tactics
@tactics = attack_tactics("T1003.001");
println("Tactics: " . join(", ", @tactics));
# → Tactics: credential-access

# Use in a custom report
report("TTP Analysis");
page("Technique Details");
h2(attack_name("T1055.003"));
p(attack_describe("T1055.003"));
h3("Detection Guidance");
p(attack_detect("T1055.003"));
report_save("/tmp/ttp-analysis.pdf");

Méthodes de recherche¶

Les techniques peuvent être recherchées soit par leur ID MITRE, soit par leur ID interne :

# By MITRE ID
attack_name("T1003.001");    # → "OS Credential Dumping: LSASS Memory"

# By internal ID
attack_name("BOF_EXECUTE");  # → "BOF Execution (Native API)"

Suivi TTP automatique¶

Lorsque les beacons exécutent des tâches, le rapport chronologique d'activité mappe automatiquement les types de tâches connus aux ID de technique MITRE ATT&CK :

Ce mappage alimente le rapport TTP (type=ttp), qui fournit des statistiques au niveau tactique et des décomptes d'utilisation par technique.

Suivi des artefacts¶

Stentor enregistre automatiquement les artefacts générés pendant les opérations. Chaque tâche de beacon, génération de payload et action post-exploitation crée un enregistrement d'artefact avec sa technique MITRE ATT&CK associée.

Comment ça marche¶

Le ArtifactRecorderInterface (défini dans server/internal/c2/) enregistre les artefacts en temps réel :

1. Inférence : Lorsqu'une tâche est exécutée, l'enregistreur déduit la technique MITRE du type de tâche à l'aide de la table de mappage taskTypeToMitre ci-dessus.
2. Enregistrement : Les enregistrements d'artefacts sont écrits via des goroutines non bloquantes avec le lot INSERT pour les performances.
3. Suivi de le payload : Les artefacts au moment de la construction (par exemple, « Mutation du code » lorsque la mutation est activée) sont enregistrés à côté des artefacts d'exécution.

Champs d'enregistrement d'artefact¶

Interroger des artefacts¶

API REST :

# List all artifacts (paginated)
curl -s "https://stentor.app/api/v1/artifacts?page=1&per_page=50" \
  -H "Authorization: Bearer $TOKEN"

# Filter by technique
curl -s "https://stentor.app/api/v1/artifacts?technique=T1055.003" \
  -H "Authorization: Bearer $TOKEN"

# Filter by task type
curl -s "https://stentor.app/api/v1/artifacts?type=inject" \
  -H "Authorization: Bearer $TOKEN"

Exportation du navigateur ATT&CK¶

Exportez la couverture technique de votre opération sous forme de fichier JSON de couche ATT&CK Navigator. La couche Navigateur fournit une carte thermique visuelle des techniques utilisées lors d'un engagement, avec une intensité de couleur basée sur la fréquence d'utilisation.

Exporter le point de terminaison¶

GET /api/v1/artifacts/navigator

# Download Navigator layer JSON
curl -s "https://stentor.app/api/v1/artifacts/navigator" \
  -H "Authorization: Bearer $TOKEN" \
  --output navigator-layer.json

# Preview in browser (no Content-Disposition header)
curl -s "https://stentor.app/api/v1/artifacts/navigator?preview=true" \
  -H "Authorization: Bearer $TOKEN"

Filtrage¶

Cartographie des couleurs¶

Le calque Navigateur utilise une interpolation de couleurs (du blanc au rouge) en fonction de la fréquence d'utilisation de la technique :

Utilisation avec le navigateur ATT&CK¶

1. Exporter la couche JSON depuis Stentor
2. Ouvrez ATT&CK Navigator dans un navigateur
3. Cliquez sur "Ouvrir la couche existante" et téléchargez le fichier JSON
4. La carte thermique montre quelles techniques ont été utilisées et leur fréquence

Ceci est précieux pour les rapports d'engagement : il fournit un résumé visuel de la couverture technique de l'opération qui correspond directement au cadre MITRE ATT&CK.

Accès à l'interface utilisateur¶

L'exportation Navigator est également disponible à partir de l'interface utilisateur de Stentor :

1. Accédez à Rapports > Artefacts.
2. Appliquez des filtres de type/technique selon vos besoins (sélectionnez « tout » pour effacer les filtres)
3. Cliquez sur Exporter la couche du navigateur.
4. Le fichier JSON se télécharge automatiquement

L'interface utilisateur utilise un filtrage côté serveur : les filtres de type ou de technique de commutation actualisent l'intégralité de la requête.