用 ATT&CK 做覆盖度盘点
ATT&CK 是按战术与战术技术组织的攻击行为知识库，战术覆盖初始访问、执行、持久化、提权、防御规避、凭据访问、发现、横向移动、收集、命令与控制、外传、影响等阶段。评估中它的正确用法是当参照清单：对照技术与子技术盘点检测规则与日志源的覆盖情况，找出盲区并给出检测优化建议，而不是当作实施攻击的路线图。
基本信息
| 定位 | 攻击行为知识库，按战术与技术组织 |
|---|---|
| 评估用途 | 盘点检测与防护对常见战术技术的覆盖度 |
| 盘点对象 | 检测规则、日志源、告警流程 |
| 产出 | 盲区清单与检测优化建议 |
| 边界 | 只做覆盖度对照，不逐项实施技术验证 |
典型使用场景
- 盘点日志源覆盖：哪些战术阶段完全没有可观测数据
- 评估检测规则覆盖面：哪些技术只有日志无告警
- 为蓝队建设排优先级：先补高价值战术阶段的检测
- 向管理层解释检测能力差距时提供统一语言
- 复盘真实事件时对照战术阶段定位缺失的检测点
覆盖度盘点示例
覆盖度盘点示例
# 逐战术阶段填写三列：技术、现有检测、结论
T1059 命令与脚本解释器：终端检测有规则 → 已覆盖
T1078 有效账号滥用：仅登录日志无告警 → 部分覆盖
T1041 通过命令与控制通道外传：无任何检测 → 缺失
# 结论列只写事实，缺失项汇总为改进建议清单覆盖度结论读法
| 结论 | 判定依据 | 后续动作 |
|---|---|---|
| 已覆盖 | 存在检测规则且告警可送达 | 抽样验证规则有效性 |
| 部分覆盖 | 有日志但无告警或无双人复核 | 补齐告警规则与响应流程 |
| 缺失 | 无日志源或无检测规则 | 列入建设清单，评估采集成本 |
| 不适用 | 业务架构不涉及该技术 | 说明理由，避免照抄清单 |
框架的正确用法是查漏：把技术清单当攻击路线图逐项实施，就偏离了评估性质，也超出常规授权范围。
覆盖度结论要落到具体检测项上：只写「已覆盖某战术」而不写对应规则与日志源，客户无法验收。