ATT&CK 战术映射是什么
MITRE ATT&CK 按战术（攻击者目标）与技术（实现手段）两个维度组织攻击行为，取证时用战术格逐项对照手上痕迹，得到一张覆盖度视图：哪些格有证据、哪些格证据不可得。它比 Kill Chain 更细，适合整理行为清单和发现取证盲区，不用来给主机或人员打分。
基本信息
| 用途 | 系统化整理行为证据、暴露取证盲区 |
|---|---|
| 维度 | 战术（目标）→ 技术（手段）→ 子技术 |
| 输出 | 战术—行为—技术参考—证据 四列表 |
| 版本注意 | ATT&CK 每年修订，引用时标注版本号 |
典型使用场景
- 事件已定性，需要整理成行业通用语言的攻击行为清单
- 排查覆盖度自查：哪些战术格完全没有数据源，优先补日志
- 多源对照：列出 Windows 事件日志、EDR、流量各自能支撑的战术
- 与威胁情报对接：把 IOC 对应到技术编号，比对同类攻击手法
- 复盘时统计防守侧检测能力的缺口，指导加固投入
映射表输出示例
映射表输出示例
战术 | 观察到的行为 | 技术参考 | 证据
Initial Access | 对外 Web 漏洞利用 | T1190 | nginx 日志异常 POST
Execution | 计划任务执行脚本 | T1053.005 | 4698 + 4688 进程谱系
Persistence | 新建系统服务 | T1543.003 | 7045 服务安装记录
Credential Access | 访问 LSASS | T1003.001 | EDR 遥测
Lateral Movement | SMB 登录新主机 | T1021.002 | 4624 类型 3、5140
Exfiltration | 大体积外联 | T1041 | 防火墙会话与字节数
# 来源不明的行为先记「未归类」，不要硬塞技术编号常用数据源与覆盖范围
| 数据源 | 能支撑的战术 | 注意 |
|---|---|---|
| Windows 安全日志 | 执行、持久化、横向、账号 | 依赖审核策略，默认策略下事件不全 |
| Sysmon | 进程、网络、文件、注册表 | 覆盖范围由自建配置模板决定 |
| EDR 遥测 | 凭据访问、注入、防御规避 | 数据在厂商平台，保留期与导出能力有限 |
| 网络流量 | 命令控制、外传、隧道 | 加密流量下通常只能看元数据 |
战术格空白不等于安全。常见原因是本环境对该战术没有对应数据源（例如没有 EDR 就看不清凭据访问），报告里要写明「数据不可得」而不是留空。
一个行为可以同时对应多个战术，比如 PowerShell 既服务于执行也服务于防御规避，按证据语义填写，不必强求唯一。