ATT CK框架实践指南

**部分 ATT&CK入门篇

第1章 潜心开始MITRE ATT&CK之旅 2

1.1 MITRE ATT&CK是什么 3

1.2 ATT&CK框架的对象关系介绍 14

1.3 ATT&CK框架实例说明 18

第2章 新场景示例：针对容器和Kubernetes的ATT&CK攻防矩阵 38

2.1 针对容器的ATT&CK攻防矩阵 39

2.2 针对Kubernetes的攻防矩阵 42

第3章 数据源：ATT&CK应用实践的前提 52

3.1 当前ATT&CK数据源利用急需解决的问题 53

3.2 升级ATT&CK数据源的使用情况 59

3.3 ATT&CK数据源的运用示例 65

第二部分 ATT&CK提高篇

第4章 十大攻击组织和恶意软件的分析与检测 78

4.1 TA551攻击行为的分析与检测 79

4.2 漏洞利用工具Cobalt Strike的分析与检测 81

4.3 银行木马Qbot的分析与检测 83

4.4 银行木马lcedlD的分析与检测 84

4.5 凭证转储工具Mimikatz的分析与检测 86

4.6 恶意软件Shlayer的分析与检测 88

4.7 银行木马Dridex的分析与检测 89

4.8 银行木马Emotet的分析与检测 91

4.9 银行木马TrickBot的分析与检测 92

4.10 蠕虫病毒Gamarue的分析与检测 93

第5章 十大高频攻击技术的分析与检测 95

5.1 命令和脚本解析器（T1059）的分析与检测 96

5.1.1 PowerShell（T1059.001）的分析与检测 96

5.1.2 Windows Cmd Shell（T1059.003）的分析与检测 98

5.2 利用已签名二进制文件代理执行（T1218）的分析与检测 100

5.3 创建或修改系统进程（T1543）的分析与检测 108

5.4 计划任务/作业（T1053）的分析与检测 111

5.5 OS凭证转储（T1003）的分析与检测 114

5.6 进程注入（T1055）的分析与检测 117

5.7 混淆文件或信息（T1027）的分析与检测 120

5.8 入口工具转移（T1105）的分析与检测 122

5.9 系统服务（T1569）的分析与检测 124

5.10 伪装（T1036）的分析与检测 126

第6章 红队视角：典型攻击技术的复现 129

6.1 基于本地账户的初始访问 130

6.2 基于WMI执行攻击技术 131

6.3 基于浏览器插件实现持久化 132

6.4 基于进程注入实现提权 134

6.5 基于Rootkit实现防御绕过 135

6.6 基于暴力破解获得凭证访问权限 136

6.7 基于操作系统程序发现系统服务 138

6.8 基于SMB实现横向移动 139

6.9 自动化收集内网数据 141

6.10 通过命令与控制通道传递攻击载荷 142

6.11 成功窃取数据 143

6.12 通过停止服务造成危害 144

第7章 蓝队视角：攻击技术的检测示例 145

7.1 执行：T1059命令和脚本解释器的检测 146

7.2 持久化：T1543.003创建或修改系统进程（Windows服务）的检测 147

7.3 权限提升：T1546.015组件对象模型劫持的检测 149

7.4 防御绕过：T1055.001 DLL注入的检测 150

7.5 凭证访问：T1552.002注册表中的凭证的检测 152

7.6 发现：T1069.002域用户组的检测 153

7.7 横向移动：T1550.002哈希传递攻击的检测 154

7.8 收集：T1560.001通过程序压缩的检测 155

第三部分 ATT&CK实践篇

第8章 ATT&CK应用工具与项目 158

8.1 ATT&CK三个关键工具 159

8.2 ATT&CK实践应用项目 164

第9章 ATT&CK场景实践 175

9.1 ATT&CK的四大使用场景 178

9.2 ATT&CK实践的常见误区 190

第10章 基于ATT&CK的安全运营 193

10.1 基于ATT&CK的运营流程 195

10.2 基于ATT&CK的运营实践 200

10.3 基于ATT&CK的模拟攻击 206

第11章 基于ATT&CK的威胁狩猎 218

11.1 威胁狩猎的开源项目 219

11.2 ATT&CK与威胁狩猎 224

11.3 威胁狩猎的行业实战 231

第四部分 ATT&CK生态篇

第12章 MITRE Shield主动防御框架 246

12.1 MITRE Shield背景介绍 247

12.2 MITRE Shield矩阵模型 249

12.3 MITRE Shield与ATT&CK的映射 253

12.4 MITRE Shield使用入门 254

第13章 ATT&CK测评 259

13.1 测评方法 260

13.2 测评流程 262

13.3 测评内容 264

13.4 测评结果 266

附录A ATT&CK战术及场景实践 271

附录B ATT&CK攻击与SHIELD防御映射图 292