ATT&CK框架實(shí)踐指南（第2版）

第一部分 ATT＆CK 入門篇
第 1 章 潛心開始 MITRE ATT＆CK 之旅 ............................................ 2
1.1 MITRE ATT＆CK 是什么 .............................................................................. 3
1.1.1 MITRE ATT＆CK 框架概述 .............................................................. 4
1.1.2 ATT＆CK 框架背后的安全哲學(xué) ....................................................... 9
1.1.3 ATT＆CK 框架與 Kill Chain 模型的對比 ...................................... 11
1.1.4 ATT＆CK 框架與痛苦金字塔模型的關(guān)系 ..................................... 13
1.2 ATT＆CK 框架七大對象 ............................................................................. 13
1.3 ATT＆CK 框架實(shí)例說明 ............................................................................. 21
1.3.1 ATT＆CK 戰(zhàn)術(shù)實(shí)例 ......................................................................... 21
1.3.2 ATT＆CK 技術(shù)實(shí)例 ......................................................................... 34
1.3.3 ATT＆CK 子技術(shù)實(shí)例 ..................................................................... 37
第 2 章 基于 ATT＆CK 框架的擴(kuò)展知識庫 .......................................... 41
2.1 針對容器的 ATT＆CK 攻防知識庫 ............................................................ 42
2.1.1 執(zhí)行命令行或進(jìn)程 .......................................................................... 43
2.1.2 植入惡意鏡像實(shí)現(xiàn)持久化 .............................................................. 44
2.1.3 通過容器逃逸實(shí)現(xiàn)權(quán)限提升 .......................................................... 44
2.1.4 繞過或禁用防御機(jī)制 ...................................................................... 44
2.1.5 基于容器 API 獲取權(quán)限訪問 .......................................................... 45
2.1.6 容器資源發(fā)現(xiàn) .................................................................................. 45
2.2 針對 Kubernetes 的攻防知識庫 .................................................................. 46
2.2.1 通過漏洞實(shí)現(xiàn)對 Kubernetes 的初始訪問 ...................................... 47
2.2.2 執(zhí)行惡意代碼 .................................................................................. 48
2.2.3 持久化訪問權(quán)限 .............................................................................. 48
2.2.4 獲取更高訪問權(quán)限 .......................................................................... 49
2.2.5 隱藏蹤跡繞過檢測 .......................................................................... 50
2.2.6 獲取各類憑證 .................................................................................. 51
2.2.7 發(fā)現(xiàn)環(huán)境中的有用資源 .................................................................. 52
2.2.8 在環(huán)境中橫向移動(dòng) .......................................................................... 53
2.2.9 給容器化環(huán)境造成危害 .................................................................. 54
2.3 針對內(nèi)部威脅的 TTPs 攻防知識庫 ............................................................ 55
2.3.1 內(nèi)部威脅 TTPs 知識庫的研究范圍 ............................................... 56
2.3.2 與 ATT＆CK 矩陣的關(guān)系 ................................................................ 57
2.3.3 內(nèi)部威脅者常用策略 ...................................................................... 58
2.3.4 針對內(nèi)部威脅的防御措施 .............................................................. 60
2.4 針對網(wǎng)絡(luò)安全對策的知識圖譜 MITRE D3FEND ..................................... 60
2.4.1 建立 D3FEND 的原因 ..................................................................... 61
2.4.2 構(gòu)建 MITRE D3FEND 的方法論 ................................................... 61
2.5 針對軟件供應(yīng)鏈的 ATT＆CK 框架 OSC＆R .............................................. 67
第二部分 ATT＆CK 提高篇
第 3 章 十大攻擊組織/惡意軟件的分析與檢測 ...................................... 72
3.1 TA551 攻擊行為的分析與檢測 .................................................................. 73
3.2 漏洞利用工具 Cobalt Strike 的分析與檢測 ............................................... 75
3.3 銀行木馬 Qbot 的分析與檢測 .................................................................... 77
3.4 銀行木馬 lcedlD 的分析與檢測 .................................................................. 78
3.5 憑證轉(zhuǎn)儲工具 Mimikatz 的分析與檢測 ..................................................... 80
3.6 惡意軟件 Shlayer 的分析與檢測 ................................................................ 82
3.7 銀行木馬 Dridex 的分析與檢測 ................................................................. 83
3.8 銀行木馬 Emotet 的分析與檢測 ................................................................. 85
3.9 銀行木馬 TrickBot 的分析與檢測 .............................................................. 86
3.10 蠕蟲病毒 Gamarue 的分析與檢測 ............................................................ 87
第 4 章 十大高頻攻擊技術(shù)的分析與檢測 ............................................. 89
4.1 命令和腳本解析器（T1059）的分析與檢測 ............................................ 90
4.1.1 PowerShell（T1059.001）的分析與檢測 ...................................... 90
4.1.2 Windows Cmd Shell（T1059.003）的分析與檢測 ........................ 92
4.2 利用已簽名二進(jìn)制文件代理執(zhí)行（T1218）的分析與檢測 .................... 94
4.2.1 Rundll32（T1218.011）的分析與檢測 .......................................... 94
4.2.2 Mshta（T1218.005）的分析與檢測 ............................................... 98
4.3 創(chuàng)建或修改系統(tǒng)進(jìn)程（T1543）的分析與檢測 ...................................... 102
4.4 計(jì)劃任務(wù)/作業(yè)（T1053）的分析與檢測 ................................................. 105
4.5 OS 憑證轉(zhuǎn)儲（T1003）的分析與檢測 .................................................... 108
4.6 進(jìn)程注入（T1055）的分析與檢測 .......................................................... 111
4.7 混淆文件或信息（T1027）的分析與檢測 .............................................. 114
4.8 入口工具轉(zhuǎn)移（T1105）的分析與檢測 .................................................. 117
4.9 系統(tǒng)服務(wù)（T1569）的分析與檢測 .......................................................... 119
4.10 偽裝（T1036）的分析與檢測 ................................................................ 121
第 5 章 紅隊(duì)視角：典型攻擊技術(shù)的復(fù)現(xiàn) ........................................... 123
5.1 基于本地賬戶的初始訪問 ........................................................................ 124
5.2 基于 WMI 執(zhí)行攻擊技術(shù) ......................................................................... 125
5.3 基于瀏覽器插件實(shí)現(xiàn)持久化 .................................................................... 126
5.4 基于進(jìn)程注入實(shí)現(xiàn)提權(quán) ............................................................................ 128
5.5 基于 Rootkit 實(shí)現(xiàn)防御繞過 ...................................................................... 129
5.6 基于暴力破解獲得憑證訪問權(quán)限 ............................................................ 130
5.7 基于操作系統(tǒng)程序發(fā)現(xiàn)系統(tǒng)服務(wù) ............................................................ 132
5.8 基于 SMB 實(shí)現(xiàn)橫向移動(dòng) .......................................................................... 133
5.9 自動(dòng)化收集內(nèi)網(wǎng)數(shù)據(jù) ................................................................................ 135
5.10 通過命令與控制通道傳遞攻擊載荷 ...................................................... 136
5.11 成功竊取數(shù)據(jù) .......................................................................................... 137
5.12 通過停止服務(wù)造成危害 .......................................................................... 138
第 6 章 藍(lán)隊(duì)視角：攻擊技術(shù)的檢測示例 ........................................... 139
6.1 執(zhí)行：T1059 命令和腳本解釋器的檢測 ................................................. 140
6.2 持久化：T1543.003 創(chuàng)建或修改系統(tǒng)