本包目录（137 条）

ATT&CK 战术映射

用 ATT&CK 战术维度整理痕迹：初始访问、执行、持久化、提权、防御规避、凭据访问、发现、横向、收集、外传——逐格找证据。

用途	系统化整理行为证据
方法	战术格逐项对照痕迹

映射输出

战术       | 观察到的行为        | 证据
持久化     | 新增计划任务        | schtasks 日志
凭据访问   | LSASS 访问          | EDR 遥测
横向       | SMB 登录新主机      | 4624 类型3

空白格不是"没事"，而是要写明"证据不可得/未见"。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌