ATT&CK 是什么
ATT&CK 是 MITRE 维护的对抗行为知识库，把真实入侵拆成战术（Tactic，攻击者想达成什么）与技术（Technique，具体怎么做到，带 T 编号），分 Enterprise、Mobile、ICS 三套矩阵。它记录的是行为而不是漏洞，因此可以把「修一个 CVE」翻译成「阻断攻击链上的一个环节」，用于检测覆盖评估、演练复盘和漏洞排序。
基本信息
| 出品方 | MITRE（attack.mitre.org） |
|---|---|
| 矩阵划分 | Enterprise 企业、Mobile 移动、ICS 工控 |
| 组织结构 | 战术 → 技术 → 子技术，技术编号形如 T1059.001 |
| 相关实体 | 数据源（Data Sources）、缓解（Mitigations）、组织（Groups）、软件（Software） |
| 更新节奏 | 持续更新，技术会新增、重命名与废弃 |
| 与 CVE 的关系 | 多对多映射，一个 CVE 可对应多个技术，不等同 |
部分战术与检测切入点
| 战术 | 典型技术域 | 检测切入点 |
|---|---|---|
| Initial Access 初始访问 | 钓鱼、公网应用利用 | 邮件与 Web 访问日志 |
| Execution 执行 | 脚本解释器、计划任务 | 进程创建与命令行审计 |
| Persistence 持久化 | 启动项、账户 | 启动项与账户变更审计 |
| Privilege Escalation 权限提升 | 漏洞利用、配置缺陷 | 本地提权事件与配置基线 |
| Defense Evasion 防御规避 | 日志清理、进程注入 | 日志完整性监控 |
| Credential Access 凭据访问 | 凭据转储、口令爆破 | 认证失败与凭据访问告警 |
| Discovery 发现 | 主机与网络探测 | 异常扫描行为 |
| Lateral Movement 横向移动 | 远程服务、凭据复用 | 远程登录与服务调用日志 |
| Command and Control 命令控制 | 应用层协议、代理 | 出站流量与域名信誉 |
| Exfiltration 数据外传 | C2 通道、云存储 | 出站流量与数据外发审计 |
| Impact 影响 | 数据加密、服务中断 | 批量文件改写与可用性告警 |
典型使用场景
- 检测建设：按技术编号梳理日志覆盖，找出「有日志但无规则」的环节
- 攻防演练复盘：把红队实际用到的行为映射到编号，量化检测缺口
- 漏洞排序：优先修复位于高价值资产攻击链路上的漏洞
- 情报落地：把威胁报告里的 TTP 描述翻译成编号，转成检测规则
- 运营分工：按战术阶段划分研判职责，减少重复分析
- 向上汇报：用战术语言解释为什么某个检测能力值得投入
使用方式
使用方式
# 检测建设：按技术编号梳理日志覆盖，如 T1059 脚本执行
# 攻防演练：标记红队用到的技术，反查检测缺口
# 漏洞排序：优先关注与高价值资产链路相关的技术
# 情报映射：把威胁报告的 TTP 映射成编号，落到检测规则
# 覆盖评估：每个战术按「有日志、有规则、有告警、有人处置」四档打分ATT&CK 是行为知识库，不是漏洞库。CVE 与 Technique 之间是映射关系而非等同，两个层面的清单要分开维护、定期对齐。
技术编号会被重命名或废弃，内部映射表务必标注所用的 ATT&CK 版本号，跨年对比时先做编号对照，否则统计口径会断裂。