mapping-mitre-attack-techniques

# 映射 MITRE ATT&CK 技术

## 适用场景

在以下情况下使用本技能：
- 生成 ATT&CK 覆盖热图，展示检测栈涵盖的技术
- 用 ATT&CK 技术 ID 标记现有 SIEM 用例或 Sigma 规则，用于结构化报告
- 将安全计划路线图与已知针对您所在行业的特定对手组织对齐

**请勿使用**本技能进行实时事件分类——ATT&CK 映射是一项分析活动，最好在检测后或威胁猎捕规划期间执行。

## 前置条件

- 访问 MITRE ATT&CK 知识库（https://attack.mitre.org）或本地 ATT&CK STIX 数据包
- ATT&CK Navigator Web 应用或本地安装（https://mitre-attack.github.io/attack-navigator/）
- 评估当前覆盖率的现有检测规则清单（Sigma、Splunk、Sentinel KQL）
- ATT&CK Python 库：`pip install mitreattack-python`

## 工作流程

### 步骤 1：获取当前 ATT&CK 数据

下载相关矩阵（Enterprise、Mobile、ICS）的最新 ATT&CK STIX 包：
```bash
curl -o enterprise-attack.json \
  https://raw.githubusercontent.com/mitre/cti/master/enterprise-attack/enterprise-attack.json
```

使用 mitreattack-python 库以编程方式查询技术：
```python
from mitreattack.stix20 import MitreAttackData

mitre = MitreAttackData("enterprise-attack.json")
techniques = mitre.get_techniques(remove_revoked_deprecated=True)
for t in techniques[:5]:
    print(t["external_references"][0]["external_id"], t["name"])
```

### 步骤 2：将现有检测映射到技术

对于每个 SIEM 规则或 Sigma 文件，分配 ATT&CK 技术 ID。Sigma 规则支持原生 ATT&CK 标记：
```yaml
tags:
  - attack.execution
  - attack.t1059.001  # PowerShell
  - attack.t1059.003  # Windows 命令行
```

创建覆盖矩阵：列出每个技术 ID 并标记为：已检测（告警触发）、已记录（数据存在但无告警）、盲点（无数据源）。

### 步骤 3：使用威胁情报优先化覆盖缺口

将覆盖缺口与针对您所在行业的对手组织进行交叉参考。使用 ATT&CK 组织数据：
```python
groups = mitre.get_groups()
apt29 = mitre.get_object_by_attack_id("G0016", "groups")
apt29_techniques = mitre.get_techniques_used_by_group(apt29)
for t in apt29_techniques:
    print(t["object"]["external_references"][0]["external_id"])
```

优先为高优先级威胁组织使用的技术添加检测，尤其是覆盖盲点处。

### 步骤 4：构建 Navigator 热图

将覆盖评分导出为 ATT&CK Navigator JSON 层：
```python
import json

layer = {
    "name": "SOC 检测覆盖 Q1 2025",
    "versions": {"attack": "14", "navigator": "4.9", "layer": "4.5"},
    "domain": "enterprise-attack",
    "techniques": [
        {"techniqueID": "T1059.001", "score": 100, "comment": "Splunk 规则：PS_Encoded_Command"},
        {"techniqueID": "T1071.001", "score": 50, "comment": "仅记录，无告警"},
        {"techniqueID": "T1055", "score": 0, "comment": "无覆盖——盲点"}
    ],
    "gradient": {"colors": ["#ff6666", "#ffe766", "#8ec843"], "minValue": 0, "maxValue": 100}
}
with open("coverage_layer.json", "w") as f:
    json.dump(layer, f)
```

将层导入 ATT&CK Navigator（https://mitre-attack.github.io/attack-navigator/）进行可视化。

### 步骤 5：生成高层覆盖报告

按战术类别（初始访问、执行、持久化等）汇总覆盖率，包含数量和百分比。根据对手组织使用频率提供风险排名的前 10 盲点技术列表。推荐添加数据源（例如"启用 PowerShell 脚本块日志记录以解决 12 个执行子技术缺口"）。

## 核心概念

| 术语 | 定义 |
|------|-----------|
| **ATT&CK 技术** | 以 T 号码标识的特定对手方法（例如 T1059 = 命令和脚本解释器） |
| **子技术** | 技术的更细粒度变体（例如 T1059.001 = PowerShell，T1059.003 = Windows 命令行） |
| **战术** | ATT&CK 中的对手目标类别：初始访问、执行、持久化、权限提升、防御规避、凭据访问、发现、横向移动、收集、C&C、数据渗出、影响 |
| **数据源** | ATT&CK v10+ 组件，标识检测技术所需的遥测（例如进程创建、网络流量） |
| **覆盖评分** | 表示技术检测完整性的数值（0-100）：0=盲点，50=仅记录，100=已告警 |
| **MITRE D3FEND** | 补充 ATT&CK 的防御对策本体——将防御技术映射到其缓解的攻击技术 |

## 工具与系统

- **ATT&CK Navigator**：基于浏览器的热图可视化工具，用于在 ATT&CK 矩阵上分层显示覆盖评分和注释
- **mitreattack-python**：MITRE 官方 Python 库，用于以编程方式访问 ATT&CK STIX 数据（技术、组织、软件、缓解措施）
- **Atomic Red Team**：提供原子测试用例的 MITRE 对齐测试库，用于验证每种技术的检测
- **Sigma**：支持 ATT&CK 标记的检测规则格式；可转换为 Splunk、Sentinel、QRadar、Elastic
- **ATT&CK Workbench**：用于维护自定义技术扩展的自托管 ATT&CK 知识库

## 常见陷阱

- **过度声明覆盖**：记录数据源（例如进程创建事件）并不意味着检测到相关技术——规则必须实际针对恶意模式触发。
- **仅在战术级别映射**：将规则标记为"attack.execution"而没有具体技术 ID 会阻止细粒度缺口分析。
- **忽视子技术**：许多对手使用特定子技术。T1059（父技术）的覆盖并不意味着 T1059.005（Visual Basic）的覆盖。
- **不更新的静态映射**：ATT&CK 每年发布主要版本。随着技术被添加、修改或弃用，覆盖图会过时。
- **不映射到对手组织**：通用覆盖图无法区分针对您所在行业的 APT 使用的技术与商品恶意软件。