CAPEC: Wie ein Angriff eine Schwachstelle ausnutzt

Wozu ein Angriffsmuster dient

CAPEC bietet ein allgemeines Vokabular zur Beschreibung wie Ein Angriff funktioniert unabhängig vom Zielprodukt. Jeder Eintrag nennt die Voraussetzungen des Angreifers, die Ausführungsschritte, die erforderlichen Fähigkeiten, die ausgenutzten Schwachstellen und die bekannten Gegenmaßnahmen.

Für ein Verteidigungsteam ist es ein Bedrohungsmodellierungstool: Jede in Ihrem Code identifizierte Schwachstelle wird dokumentierten Angriffsmustern zugeordnet und damit Abwehrmaßnahmen, die Sie identifizieren können, ohne sie erfinden zu müssen.

Ein Muster Schritt für Schritt: CAPEC-66, SQL-Injection

Ein CAPEC-Eintrag liest sich wie ein Playbook. Hier ist CAPEC-66 zusammengefasst in vier Schritten:

1. Entdecken. Der Angreifer sendet ein einzelnes Anführungszeichen in jedes Formularfeld und beobachtet die Fehlermeldungen. Ein auf dem Bildschirm angezeigter SQL-Syntaxfehler ist bereits eine Antwort.
2. Sonde. Sie fügen eine immer wahre Bedingung ein, um zu sehen, ob sich die Abfrage anders verhält, und messen dann die Antwortzeiten, wenn keine Nachricht angezeigt wird.
3. Ausnutzen. Sie verketten eine zweite Abfrage, um die Datenbankstruktur und dann deren Inhalt zu extrahieren.
4. Bleiben Sie bestehen. Abhängig von den Berechtigungen des Datenbankkontos schreiben sie eine Datei auf den Server oder erstellen ein Anwendungskonto.

Die ausgenutzte Schwäche ist CWE-89. Die im Eintrag aufgeführten Gegenmaßnahmen sind standardmäßig und wirksam: vorbereitete Anweisungen, strikte Eingabevalidierung, ein Datenbankkonto mit den geringsten Rechten, Fehlermeldungen, die dem Client nichts verraten. Diese Kontinuität – vom Schritt des Angreifers bis zur Codezeile, die Sie schreiben müssen – macht den Katalog wertvoll.

Ein paar gängige Muster

Der vollständige Katalog umfasst mehr als 600 Muster. Es wird von MITRE unter capec.mitre.org veröffentlicht.

Drei Abstraktionsebenen

Muster gibt es auf mehreren Ebenen, und die Verwechslung der Ebenen ist die Hauptursache für Missverständnisse:

• Meta: eine allgemeine Strategie, zum Beispiel „injizieren“. Nützlich für die Gestaltung eines Workshops zur Bedrohungsmodellierung.
• Standard: eine identifizierbare Technik, zum Beispiel SQL-Injection. Dies ist das Niveau, mit dem Sie Tag für Tag arbeiten können.
• Ausführlich: eine präzise Implementierung, verknüpft mit bestimmten CWEs. Dies ist die Penetrationsteststufe.

Fangen Sie allgemein an und arbeiten Sie sich bis ins Detail vor: ein Workshop, der mit dem beginnt Ausführlich In Randfällen geht die Ebene verloren, bevor die Hauptfamilien abgedeckt werden.

CAPEC oder MITRE ATT&CK?

Beide Kataloge stammen vom selben Verlag und werden oft verwechselt. Sie beschreiben verschiedene Momente:

Ein Entwicklungsteam arbeitet mit CAPEC; Ein Security Operations Center arbeitet mit ATT&CK. Die beiden treffen sich beim ersten Zugriff, dem letzten Kapitel des ersteren und dem ersten Kapitel des letzteren.

Was es für Sie in der Praxis bedeutet

CAPEC ist kein Katalog, den man täglich überwachen muss – es ändert sich nicht viel. Es ist in zwei Momenten nützlich: Wenn Sie eine vertrauliche Funktion entwerfen (Authentifizierung, Datei-Upload, Anruf bei einem Drittanbieterdienst), indem Sie die bekannten Muster auflisten, die darauf abzielen; und wenn Sie den Umfang eines Penetrationstests festlegen, indem Sie die abzudeckenden Muster benennen, anstatt nach einem „Pentest“ zu fragen.