MITRE Corporation

MITRE Corporation — это американская некоммерческая организация, занимающаяся управлением научно-исследовательскими и опытно-конструкторскими работами (НИОКР) в интересах государственных заказчиков, в первую очередь — федеральных ведомств США. Организация специализируется на решении сложных системных проблем в сферах национальной безопасности, авиации, здравоохранения, кибербезопасности и государственного управления. MITRE управляет несколькими федеральными исследовательскими центрами (Federally Funded Research and Development Centers, FFRDC), предоставляя услуги стратегического консалтинга и технической экспертизы, не имея коммерческих интересов и не производя собственной продукции.

История

Основание и первые годы

Организация была основана в 1958 году как некоммерческая корпорация, отделившаяся от Массачусетского технологического института (MIT). Первоначально MITRE была создана для управления проектом создания системы ПВО «Сейдж» (SAGE) — первой компьютеризированной системы противовоздушной обороны США. Название «MITRE» является акронимом от Massachusetts Institute of Technology Research and Engineering (Исследования и разработки Массачусетского технологического института).

Развитие в 1960–1980-е годы

В 1960-е годы MITRE расширила сферу деятельности, начав работу над системами управления воздушным движением для Федерального авиационного управления (FAA). В 1970-е годы организация участвовала в создании системы автоматизированного управления воздушным движением (NAS). В 1980-е годы MITRE начала активно работать в области информационных технологий и кибербезопасности, в частности, над системами защиты информации для Министерства обороны США.

Современный этап

В 1990-е и 2000-е годы MITRE стала ключевым разработчиком стандартов и методологий в области кибербезопасности. В 2013 году организация опубликовала первую версию таксономии ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge), которая стала мировым стандартом для описания действий злоумышленников. В 2020-е годы MITRE продолжает управлять FFRDC для Министерства обороны, FAA, Налоговой службы (IRS), Управления по делам ветеранов и других ведомств.

Структура и управление

Организационная модель

MITRE является некоммерческой корпорацией, управляемой советом директоров. Организация не имеет акционеров и не распределяет прибыль; все доходы направляются на развитие исследований и выполнение государственных контрактов. Штаб-квартира расположена в городе Бедфорд, штат Массачусетс, с дополнительными офисами в Маклине (Виргиния), Колорадо-Спрингс и других городах.

Федеральные исследовательские центры (FFRDC)

MITRE управляет несколькими FFRDC, каждый из которых обслуживает конкретное государственное ведомство:

• MITRE Corporation FFRDC — основной центр, обслуживающий Министерство обороны, FAA, IRS и другие ведомства.
• MITRE National Security FFRDC — центр, работающий на Управление директора национальной разведки (ODNI) и Министерство обороны.
• MITRE Health FFRDC — центр, обслуживающий Министерство здравоохранения и социальных служб (HHS) и Управление по делам ветеранов.

Основные направления деятельности

Кибербезопасность

MITRE является одним из ведущих мировых центров компетенций в области кибербезопасности. Организация разрабатывает методологии, стандарты и инструменты для анализа угроз, оценки уязвимостей и защиты информационных систем.

Таксономия ATT&CK

Наиболее известным продуктом MITRE является ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) — база знаний, описывающая тактики и техники, используемые злоумышленниками при проведении кибератак. ATT&CK используется организациями по всему миру для моделирования угроз, тестирования систем защиты и обучения персонала. Таксономия охватывает такие платформы, как Windows, macOS, Linux, мобильные устройства и облачные среды.

Методология D3FEND

В 2020 году MITRE представила D3FEND — базу знаний по защитным техникам, которая дополняет ATT&CK. D3FEND описывает контрмеры, которые могут быть применены для нейтрализации конкретных атак.

Инструменты и симуляторы

MITRE разрабатывает и поддерживает ряд инструментов для кибербезопасности, включая:

• CALDERA — платформа для автоматизированного тестирования систем защиты (симуляция атак).
• CVE (Common Vulnerabilities and Exposures) — MITRE управляет этим реестром известных уязвимостей (совместно с другими организациями).
• STIX (Structured Threat Information Expression) — стандарт для обмена информацией об угрозах.

Авиация и транспорт

MITRE работает с Федеральным авиационным управлением (FAA) над модернизацией системы управления воздушным движением. Организация участвует в разработке технологий NextGen (Next Generation Air Transportation System), направленных на повышение пропускной способности аэропортов и безопасности полетов.

Здравоохранение

MITRE Health FFRDC занимается вопросами цифровизации здравоохранения, включая разработку стандартов обмена медицинскими данными (HL7, FHIR), анализ эпидемиологических данных и поддержку систем электронных медицинских карт.

Национальная безопасность

MITRE выполняет заказы Министерства обороны и разведывательного сообщества США в области систем связи, разведки, управления и контроля. Организация участвует в разработке архитектур для киберопераций и систем защиты критической инфраструктуры.

Критика и споры

Отсутствие прозрачности

Критики указывают на то, что MITRE, будучи некоммерческой организацией, управляющей FFRDC, не обязана раскрывать полную информацию о своей деятельности и финансировании. Это вызывает вопросы о подотчетности при расходовании бюджетных средств.

Влияние на стандарты

Некоторые эксперты отмечают, что таксономия ATT&CK, хотя и является полезным инструментом, может создавать ложное чувство безопасности, если организации полагаются исключительно на неё, не учитывая специфику своих систем.

Связь с правительством США

В связи с тем, что MITRE выполняет заказы для Министерства обороны и разведывательных ведомств, организация иногда воспринимается как инструмент реализации внешней политики США. В России и некоторых других странах деятельность MITRE рассматривается как потенциально угрожающая национальной безопасности, что приводит к ограничениям на использование её продуктов и методологий.

Интересные факты

• MITRE не имеет коммерческих продуктов и не конкурирует с частными компаниями; её доходы полностью формируются за счёт государственных контрактов.
• В организации работает более 10 000 человек, большинство из которых имеют допуск к секретной информации.
• Таксономия ATT&CK переведена на несколько языков, включая русский, и используется в том числе в российских компаниях для внутреннего тестирования систем защиты.
• MITRE управляет реестром CVE, который содержит более 200 000 записей об уязвимостях (на 2024 год).

Источники

• Официальный сайт MITRE Corporation (mitre.org)
• Документация по таксономии ATT&CK (attack.mitre.org)
• Федеральный закон США о FFRDC (Federal Acquisition Regulation)
• Публикации MITRE в области кибербезопасности и авиации
• Статьи в журналах IEEE и ACM, посвящённые деятельности MITRE