Cyber Security Academy · 课时

将攻击映射到检测

Q: 「将攻击映射到检测」这节课中我会学到什么？

将技术与 MITRE ATT&CK 对齐。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

将技术与 MITRE ATT&CK 对齐。

将攻击映射到检测 是 CoddyKit 上的免费 Cyber Security Academy 课时。这是第 2 节课，共 4 节。你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。

为何映射到 ATT&CK

MITRE ATT&CK 是一个精选知识库，收录了现实世界中观察到的对手战术、技术和流程。它为红队和蓝队提供了共同词汇。

将每项测试和每项检测都映射到一个 ATT&CK ID，可以让您准确回答一个问题：我们实际上能看到哪些对手行为？

战术 = 对手的目标（“为什么”）
技术 = 对手实现目标的方式（“如何”）
实施方式 = 具体实现（“是什么”）

技术 ID 的构成

每项技术都有一个稳定的标识符，您将在紫队协作的各个环节中使用它。

T1059 — 命令和脚本解释器（技术）
T1059.001 — PowerShell（子技术）
TA0002 — 执行（所属战术）

一项技术可以服务于多个战术。例如，有效账户（T1078）可以同时支持初始访问、持久化、权限提升和防御规避。

从实施方式到数据源

要检测一项技术，您必须知道什么数据源能够揭示它。ATT&CK 为每项技术列出了数据源及其组件。

对于 PowerShell 执行（T1059.001），相关遥测数据包括：

脚本块日志记录（事件 ID 4104）
模块日志记录（事件 ID 4103）
带命令行的进程创建（事件 ID 4688 / 系统监视器 1）

如果这些数据都未被收集，那么无论规则多么完善，该技术都必然是一个盲区。

选择要仿真的实施方式

技术是抽象的；您检测的是具体的实施方式。请选择对手实际会使用的真实实现方式。

对于 T1059.001，一种常见的编码命令实施方式如下：

powershell.exe -nop -w hidden -enc <base64-encoded-script>

定义检测逻辑

了解产物后，您就可以表达检测逻辑。上面的编码命令示例会产生一个进程创建事件，其命令行包含可疑标志。

对应的伪规则如下：

process == 'powershell.exe'
AND command_line CONTAINS '-enc'
AND command_line MATCHES '(?i)(-nop|-w hidden|-windowstyle hidden)'

使用西格玛编写可移植规则

西格玛是一种通用且与厂商无关的检测格式，可以编译为适用于斯普伦克、弹性平台、哨兵等系统的规则。将规则映射到 ATT&CK 可以持续跟踪覆盖率。

针对可疑编码 PowerShell 的西格玛片段：

detection:
  selection:
    Image|endswith: '\powershell.exe'
    CommandLine|contains:
      - '-enc'
      - '-EncodedCommand'
  condition: selection
tags:
  - attack.execution
  - attack.t1059.001

覆盖率矩阵

对于范围内的每项技术，记录现有哪些遥测数据，以及检测是否会触发。一行覆盖率记录应包含完整信息：

技术： T1059.001 PowerShell
数据源可用： 是（系统监视器 1、4104）
检测存在： 是（西格玛规则）
上次验证： 紫队测试日期
结果： 已检测 / 已记录 / 盲区

将此表保存在 VECTR 等工具中，就会形成权威的检测覆盖率记录。

避免脆弱的检测

一个常见陷阱是，虽然将检测映射到了某项技术，却把检测建立在脆弱且容易规避的产物上。检测某个特定工具名称十分脆弱，而检测其行为则更加稳健。

脆弱：针对单个硬编码的恶意软件文件名发出警报
更好：针对行为发出警报，例如由 winword.exe 启动 cmd.exe 的进程行为

痛苦金字塔体现了这一点：哈希值和文件名对攻击者来说很容易更改，而战术、技术和流程的更改成本很高。检测目标应位于金字塔较高层。

串联技术

真实入侵是由多个环节组成的链条，而不是单个事件。针对完整链条的检测远强于针对其中任一环节的检测。

一条仿真的攻击链可能如下：

T1566.001 鱼叉式网络钓鱼附件（初始访问）
T1059.001 PowerShell（执行）
T1547.001 注册表运行键（持久化）
T1003.001 LSASS 内存转储（凭据访问）

映射每个步骤后，您就能准确看到自己在攻击链的哪里开始具备可见性，又在哪里失去可见性。

验证映射

一项映射在经过测试之前只能算是一项声明。在紫队会话期间，红队执行实施方式，蓝队确认映射的检测确实会在映射的数据源上触发。

在受控时间窗口内执行实施方式
确认预期的事件 ID 出现在遥测数据中
确认规则会生成警报，而不只是日志记录
记录验证日期和结果

只有完成这一闭环后，您才能将一项技术标记为真正已覆盖。

使用导航器进行可视化

ATT&CK 导航器可以将覆盖率呈现为矩阵上的彩色热力图。绿色表示已检测，黄色表示仅记录，红色表示盲区。

将跟踪工具中的结果导出为导航器图层
叠加多个图层（已测试结果与威胁情报优先级）
与管理层分享热力图，以证明投资的必要性

这种可视化方式能让非技术利益相关者立即理解“检测覆盖率”这一抽象概念。

快速检查

测试您对将攻击映射到检测的理解。

回顾

现在，您已经可以系统地将攻击与检测对应起来：

使用ATT&CK ID（战术、技术、子技术）作为共同语言
确定能够揭示每项技术的数据源
选择真实的实施方式，然后编写基于行为的逻辑
使用标注了相关技术的西格玛格式表达可移植规则
将检测目标提升到痛苦金字塔的高层，以避免脆弱的检测
在线验证每项映射，然后在导航器中将覆盖率可视化

接下来，您将从头到尾规划并执行一次实际的紫队演练。

常见问题解答

「将攻击映射到检测」课时是免费的吗？

是的 — 「将攻击映射到检测」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。

「将攻击映射到检测」这节课中我会学到什么？

将技术与 MITRE ATT&CK 对齐。你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 Cyber Security Academy 需要有经验吗？

无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。这是第 2 节课，共 4 节。

「将攻击映射到检测」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 Cyber Security Academy 课中编写并运行代码吗？

能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

← 返回 Cyber Security Academy