什么是 MITRE ATT&CK——对手行为的通用语言
用通俗语言解释 MITRE ATT&CK 框架：它是什么、战术、技术和规程如何组织、为何对检测与响应很重要，以及如何在调查中使用它。
快速解答
MITRE ATT&CK 是一个开放知识库，将对手行为组织为战术（为什么）和技术（怎么做）；它为防御者和分析师提供了一套统一的词汇来描述攻击者行为、确定检测优先级并构建事件调查结构。
定义
MITRE ATT&CK 框架是一个精心整理的知识库，描述了对抗性团体针对企业、移动和云环境使用的战术、技术和规程，由 MITRE 基于真实世界的威胁报告进行维护。
先给答案
MITRE ATT&CK 回答有关攻击的两个问题：对手为什么做某事（战术）以及如何做（技术）。它是威胁情报与检测工程的通用词汇。
1. 它是什么
MITRE ATT&CK（对抗战术、技术与公共知识）是一个免费、公开维护的对手行为知识库，由 MITRE 根据真实世界的威胁报告和事件数据构建——而非来自理论。它整理了经过验证的攻击行为，使防御者能够以标准化的方式进行比较、检测和响应。
2. 基本构成
- 战术（Tactics） 描述为什么——某一步骤的作战目标，例如初始访问、执行、持久化、凭据访问或数据外泄。
- 技术（Techniques） 描述怎么做——达成某战术所采用的具体方法，例如用于初始访问的钓鱼（T1566）或用于防御规避的有效账户（T1078）。
- 子技术（Sub-techniques）（例如 T1566.001 鱼叉式钓鱼附件）以更具体的变体细化技术。
- 规程（Procedures） 是特定威胁行为者使用的具体实现，在 ATT&CK 的团体和软件条目中被引用。
3. 为什么重要
- 通用词汇：分析师、厂商和研究人员可以用相同的术语描述同一次攻击。
- 检测工程：技术 ID 直接映射到检测覆盖范围——对常见技术的覆盖缺口就是您检测体系的缺口。
- 调查结构：事件响应可以被构建为沿着技术链从初始访问走到数据外泄。
- 威胁画像：团体和恶意软件会被打上其使用技术的标签，这支持归因和威胁狩猎。
4. 它不是什么
ATT&CK 是一个行为框架，不是软件漏洞清单，不是风险评分系统，也不能单独作为归因证明。技术匹配意味着”该行为与……一致”，而非”就是这个行为者干的”。把映射当作需要验证的证据，而不是定论。
5. 如何在调查中使用它
- 在收集证据时，将观察到的行为映射到技术 ID。
- 将它们整理成战术链——从初始访问到数据外泄。
- 将战术链与已知团体画像进行比较，以获得一致性判断，而非确定性结论。
- 使用技术 ID 查找现有的检测覆盖范围或缺口，并搜索威胁情报寻找类似行动。
OpenTrojan 的威胁情报页面和调查工作区引用了技术 ID，因此您无需离开平台即可遵循同样的流程。