一、什么是ATT&CK

ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge ）是一个攻击行为知识库和模型，主要应用于评估攻防能力覆盖、APT情报分析、威胁狩猎及攻击模拟等领域。

二、ATT&CK 发展历史

• 1996年：美空军参谋长罗纳德ž福格尔曼在空军协会研讨会上提出F2T2EA“杀伤链”概念。

• 2011年1月：洛马公司提出使用网空“杀伤链”模型来描述入侵的阶段。

• 2013年9月：MITRE推出了ATT&CK模型，根据网空观察数据来描述和分类敌手行为。

• 2015年5月：ATT&CK模型公开发布，其中包括9种战术下的96种技术。

• 2018年：ATT&CK获得爆发式关注，众多安全厂商开始在产品中增加针对ATT&CK的支持。

• 2019年3月：RSA大会上，有10多个议题讨论ATT&CK的应用。

• 2019年6月：Gartner Security & Risk Management Summit会上，ATT&CK被评为十大关注热点。

• 2020年1月：MITRE公布了针对工业控制系统的ATT&CK知识库ATT&CK for ICS。

• 2021年4月：ATT&CK for Enterprise V9进行了数据源重构，将数据源与攻击行为的检测相关联。

• 2021年8月：ISC 2021设立“ATT&CK安全能力衡量论坛”，聚焦ATT&CK安全能力建设的衡量讨论。

• 2021年10月：ATT&CK v10发布，包括 14 个战术，188 个技术， 和 379 个子技术，129 个组织、638 个软件。这个版本，一共包括 38 类数据源。

• 2022年4月：ATT&CK v11发布，包含14个战术，191个技术，386个子技术，134个组织和680个软件。

• 2022年10月：ATT&CK v12版本更新了适用于企业、移动设备和 ICS（工业控制系统）框架的技术、组和软件。v12最大的变化是在ATT&CK中增加了ICS的检测，描述了检测各种ICS技术的方法，每种方法都与特定的数据源和数据组件相关联，检测功能既利用了传统的主机和基于网络的采集，也利用了ICS特定的来源，如资产和运营数据库等。v12包含14个战术、193个技术、401个子技术、135个组织、718个软件。

• 2023年4月：ATT&CK v13发布，最大的变化是为ATT&CK中的一些技术添加了详细的检测指导，用于企业，移动数据源和两种新类型的更改日志（包括一个人类可读的详细更改日志，更具体地显示更新的ATT&CK对象中的更改，以及一个机器可读的JSON更改日志，其格式在ATT&CK的Github中描述）。v13 包含14个战术、196个技术、411个子技术、138个组织和740个软件。

三、ATT&CK 应用场景

ATT＆CK在各种日常环境中都很有价值。开展任何防御活动时，可以应用ATT＆CK分类法，参考攻击者及其行为。ATT＆CK不仅为网络防御者提供通用技术库，还为渗透测试和红队提供了基础。常见的主要应用场景如下：

1) 恶意文件分析

ATT&CK知识库的总结来源之一有APT对抗，并有大量涉及终端的操作，有较多的研究在针对恶意文件的检测与分析中使用了ATT&CK。

2) 威胁检测

“杀伤链”模型较为粗粒度，自定义的威胁模型跟实际威胁的检测需求存在差异，ATT&CK的体系性有助于多维度的威胁检测关联和实际需求映射。

3) 攻击模拟和防御评估

ATT&CK作为攻击知识库，天然地能提供攻击模拟的指导，通过战术阶段提供对攻击过程的宏观认识，也为风险评估研究提供了可参考的风险模型。ATT＆CK可用于创建攻击模拟场景，红队、紫队和渗透测试活动的规划、执行和报告可以使用ATT＆CK，以便防御者和报告接收者以及其内部之间有一个通用语言。

ATT&CK可以测试和验证针对常见攻击技术的防御方案，ATT＆CK可用于构建和测试行为分析方案，以检测环境中的攻击行为。

4) 攻击归因与攻击者画像

攻击溯源与取证是还原攻击过程的重要基础，也有助于完成攻击者的刻画，基于低层级IOC的溯源取证容易被攻击者规避，而ATT&CK层次的攻击手法则反映了攻击者长期且较为本质的特征。

5) 漏洞挖掘与漏洞分析

对漏洞利用的检测、利用方法和造成影响研究分析的话，基于现有CVE和CWE的方法较少体现攻击与防御的联动视角，通过与ATT&CK技战术关联，可丰富漏洞的利用路径、造成影响等上下文。

6) SOC成熟度评估

ATT＆CK可用作一种度量，确定SOC在检测、分析和响应入侵方面的有效性。SOC团队可以参考ATT＆CK已检测到或未涵盖的技术和战术。这有助于了解防御优势和劣势在哪里，并验证缓解和检测控制措施，并可以发现配置错误和其他操作问题。

四、2023 ATT&CK v13版本更新说明

2023年 4月25日，MITRE ATT&CK 发布了最新版本 V13，最大的变化是为ATT&CK中的一些技术添加了详细的检测指导，用于企业，移动数据源和两种新类型的更改日志（包括一个人类可读的详细更改日志，更具体地显示更新的ATT&CK对象中的更改，以及一个机器可读的JSON更改日志，其格式在ATT&CK的Github中描述）。

ATT&CK for Enterprise v13 包含14个战术、196个技术、411个子技术、138个组织和740个软件。

4.1 检测指导更详细

以 T1543.003创建或修改系统进程：Windows服务 技术为例，攻击者可以创建或修改Windows服务，通过重复执行恶意有效载荷保持持久性。当Windows启动时，它会启动执行服务程序或应用程序。Windows注册表中存储了Windows服务配置信息，包括服务可执行或恢复程序/命令的文件路径。

攻击者可以安装新服务或修改现有服务以在启动时执行， 可以使用系统程序设置、修改服务配置、修改注册表或者直接与Windows API交互方式。

攻击者可使用服务来安装和执行恶意驱动程序。攻击者会利用这些驱动程序作为Rootkit来隐藏系统上恶意活动的存在。攻击者还可以将已签名但易受攻击的驱动程序加载到受损的计算机上实现特权升级。

V12及之前版本检测指导如下：

V13版本检测指导更详细，增加了检测注意事项以及检测示例，提供了降低误报提高检测准确性的方法，有效提升检测落地执行能力。

4.2 新技术

4.2.1 企业版

新技术：

• 获取访问权限

• 获取基础设施：Malvertising

• 云管理命令

• 命令和脚本解释器：云API

• 设备驱动程序发现

• 过滤Web服务：过滤到文本存储站点

• 削弱防御：欺骗安全警报

• 伪装：伪装文件类型

• 修改身份验证过程：网络提供程序DLL

• 混淆文件或信息：命令混淆

• 混淆文件或信息：无文件存储

• 远程服务：云服务

• 不安全的凭据：聊天消息

4.2.2 ICS版

新技术：

• 更改凭证

• 本地系统数据

4.3. 新软件

4.3.1 企业版

新软件：

• AvosLocker

• Black Basta

• BlackCat

• Brute Ratel C4

• DEADEYE

• DarkTortilla

• Industroyer2

• KEYPLUG

• Mafalda

• Prestige

• Royal

• Rubeus

• SVCReady

• Woody RAT

• metaMain

4.3.2 移动版

新软件：

• Abstract Emu

• Drinik

• FluBot

• S.O.V.A.

• SharkBot

• TangleBot

• TianySpy

4.3.3 ICS版

新软件：

• Industroyer2

4.4. 新攻击组织

• CURIUM ：CURIUM是2021年11月首次报道的伊朗威胁组织，在几个月的时间里投资通过社交媒体与潜在目标建立关系，以在发送恶意软件之前建立信任和信心。安全研究人员指出，CURIUM通过每天与潜在目标聊天并发送文件来帮助降低他们的安全意识，表现出了极大的耐心和毅力。

• Luminous Moth：夜光蛾是一个讲汉语的网络间谍组织，至少从2020年10月开始活跃。LuminousMoth已经瞄准了缅甸，菲律宾，泰国和东南亚其他地区的组织，包括政府。

• Metador：斗牛士是一个可疑的网络间谍组织，于2022年9月首次报道。斗牛士的目标是数量有限的电信公司、互联网服务提供商和中东和非洲的大学。

4.5. 网络安全事件

• 2016年乌克兰电力攻击

• C0017

• C0018

• C0021

• Operation Dream Job

• Operation Ghost

• SolarWinds 攻击

4.6. 新缓解措施

验证程序输入：设计用于与控制系统参数交互的设备和程序应验证所有用户输入和操作的格式和内容，以确保值在预期的操作范围内。这些值应通过现场控制器上运行的程序逻辑进行评估并进一步执行。如果识别出有问题或无效的输入，程序应该使用预定的安全值或进入已知的安全状态，同时还记录或警告事件。

4.7. 新数据源

移动版新增数据源：

• 申请审核

• 命令

• 网络流量

• 流程

• 传感器健康

• 用户界面

4.8. 新数据组件

移动版新增数据组件：

• API调用

• 命令执行

• 主机状态

• 网络通讯

• 网络连接创建

• 网络流量内容

• 权限请求

• 进程创建

• 进程元数据

• 进程终止

• 受保护的配置

• 系统通知

• 系统设置

五、总结

MITRE ATT&CK 是一个全球可访问的基于现实世界观察的对手战术和技术知识库。ATT&CK 知识库被用作在私营部门、政府以及网络安全产品和服务社区中开发特定威胁模型和方法的基础。

V13版本主要更新了更为详细的检测指导，有效提升网络安全防御技术，针对ATTCK每一类攻击技术，可以根据V13版本输出的细粒度检测指导，清晰地了解防御检测思路，选择合适的数据源进行数据采集分析，细化告警规则模型，有效提升告警精准度，降低告警误报，缩短从威胁检测-溯源分析-处置响应的闭环时间，从被动防御向纵深主动防御持续提升！