Главная / Лекция 12 / Курсовая 11

Бенчмарк EDR/AV по техникам ATT&CK

Таблица техник MITRE ATT&CK с оценкой каждого продукта: Blocked (атака предотвращена), Detected (зафиксирована, но не остановлена), Missed (пропущена). Меняйте статусы — сводные метрики пересчитаются.

MITRE ATT&CK EDR / AV Курсовая 11

Фильтр

Результаты тестирования

Техника Тактика Defender CrowdStrike SentinelOne

Сводные метрики

Detection Rate = (Blocked + Detected) / Всего — способность в принципе заметить технику.
Block Rate = Blocked / Всего — способность предотвратить атаку, а не только зафиксировать.
Miss Rate = Missed / Всего — доля пропущенных техник, потенциальные слепые зоны.

Как проводится реальный бенчмарк

Подход MITRE Engenuity
1. Выбирается эмулятор атак (CALDERA, Atomic Red Team).
2. Для каждой техники ATT&CK запускается контролируемая атака.
3. Фиксируется реакция продукта:
     • предотвратил (blocked);
     • зафиксировал в логах/алертах (detected);
     • не заметил (missed).
4. Результаты нормализуются по тактике и по способности к
   детектированию отдельно от блокировки.
5. Итог — матрица в стиле ATT&CK Navigator с оценкой по каждой технике.

Задание

  1. Отфильтруйте техники по тактике Credential Access. Сравните DR и BR трёх продуктов.
  2. Найдите технику, которая пропускается у всех трёх продуктов — это «слепая зона», требующая компенсирующих мер.
  3. Предложите набор техник для приоритетного покрытия в вашей организации — обоснуйте.
  4. Сравните два продукта по Block Rate. Какой из них предпочтительнее для среды с высокими требованиями к непрерывности бизнеса?