ATT&CK对象模型与TTP提取

01 · 四层对象模型：Tactic / Technique / Sub-technique / Procedure

ATT&CK对对手行为的描述遵循严格的四层粒度体系，理解四层的区别是映射准确性的前提：

1.1 组织、软件与战役：TTP的"主语"

仅有行为动词（技术）不构成完整情报，ATT&CK用三类对象为TTP标注"谁"：Group（威胁组织，intrusion-set对象，含别名、目标行业、隶属归因）、Software（恶意软件与工具，分malware与tool两类）、Campaign（战役，一段时间内的协同攻击活动）。三者与技术之间均以"uses"关系关联。以v17官方统计为例，Enterprise域收录166个组织、755个软件条目、47个战役（v17口径；当前版本v19为174组织/821软件/56战役）。近年收录的Enterprise组织包括Salt Typhoon、APT42、Sea Turtle、Velvet Ant、Storm-1811、RedEcho等——各组织的具体收录版本以官方机器可读changelog为准，引用时须逐条核对版本归属。这些对象及其关系共同构成TTP知识库的骨架。

1.2 缓解措施与数据源：TTP的"宾语"与"检测要件"

完整对象图谱还包括：Mitigation（缓解措施，course-of-action对象，与技术经mitigates关系关联；v17对Enterprise全部44项缓解措施描述进行了系统性重写）、Data Source / Data Component（数据源/数据组件，检测该技术所需的数据要件，经detects关系关联技术；v17 Enterprise域含37个数据源）、以及Asset（资产，ICS域特有，描述工控场景中的设备/系统类型）。消费TTP情报时，"uses什么软件—mitigates用什么措施—detects需要什么数据"三条关系链缺一不可。

02 · 技术条目属性体系

每个技术/子技术条目包含一组标准化属性。下表以T1003 OS Credential Dumping为例说明各字段的语义及其在映射工作中的用途：

03 · STIX 2.1数据模型：ATT&CK的机器交换底座

3.1 为什么选择STIX 2.1

MITRE以STIX 2.1（Structured Threat Information Expression）格式分发ATT&CK全部数据。STIX 2.1是OASIS网络安全威胁情报技术委员会（CTI TC）制定的结构化威胁信息表达标准（2021年成为OASIS标准），采用JSON序列化与图模型设计，原生支持对象间关系（SRO, STIX Relationship Object）与版本化标识（STIX ID）。选择STIX 2.1意味着ATT&CK知识库可以不经信息损失地接入任何兼容STIX的威胁情报平台（TIP），与TAXII 2.1传输标准配套构成完整的交换管道（对应子课题01的标准化体系）。

3.2 ATT&CK对象到STIX 2.1的映射

注：x-mitre-*为MITRE在STIX 2.1基础上定义的扩展对象类型，属ATT&CK数据包的事实结构，字段清单以mitre/cti仓库实际数据为准。

3.3 核心SRO关系类型速查

说明：上表列出的是与ATT&CK消费最相关的四类关系；STIX 2.1完整关系清单以OASIS规范与mitre/cti数据包实际取值为准。

3.4 attack-pattern条目结构示例（节选示意）

以下JSON节选基于MITRE官方STIX数据包的真实结构改写（ID为占位示意值，字段以官方数据为准）：

{
  "type": "attack-pattern",
  "id": "attack-pattern--00000000-1111-2222-3333-444444444444",
  "name": "OS Credential Dumping",
  "description": "Adversaries may attempt to dump credentials ...",
  "kill_chain_phases": [
    { "kill_chain_name": "mitre-attack", "phase_name": "credential-access" }
  ],
  "external_references": [
    {
      "source_name": "mitre-attack",
      "external_id": "T1003",
      "url": "https://attack.mitre.org/techniques/T1003"
    }
  ],
  "x_mitre_data_sources": ["Process", "Command", "..."],
  "x_mitre_platforms": ["Windows", "macOS", "Linux"],
  "x_mitre_is_subtechnique": false,
  "x_mitre_detection": "Monitor for processes ...",
  "x_mitre_version": "1.0"
}

04 · 官方数据获取方式

MITRE通过两条官方渠道持续发布ATT&CK机器可读数据，均免费公开：

TAXII服务按域划分公开集合（Enterprise ATT&CK、Mobile ATT&CK、ICS ATT&CK等），企业矩阵集合的API路径为/stix/collections/95ecc380-afe9-11e4-9b6c-751b66dd541e/（该集合ID为官方文档公开示例所用，见参考来源[10]）。此外，官方同时提供STIX 2.0历史格式与逐版本Excel导出——Excel视图不含已撤销/弃用对象，适合快速人工检索与培训配套，但不应作为机器交换源（与STIX数据包可能存在同步差）。

获取后的本地加工遵循三条原则：①版本固定——每次导入记录源版本号（格式建议"大版本.小版本"，官方在相邻大版本间会发布内容补丁，如v17.1、v18.1、v19.1、v19.2）并保留原始文件，禁止覆盖式更新；②diff跟踪——用官方提供的机器可读changelog（JSON diff，v17起格式规范化）识别新增/改名/撤销对象，触发知识库增量更新而非全量重建；③校验兜底——用stix2 Python官方库解析校验，拒绝格式异常的对象进入下游。

4.1 版本对象变更类型及处理策略

05 · TTP提取六步方法论

从非结构化威胁报告到结构化TTP知识，本课题定义如下六步流水线，每一步均设置质量门：

5.1 映射裁决规范（针对KQ-1）

同一段攻击描述被不同分析员映射到不同技术，是TTP知识库劣化的主要根源。本课题规定三条裁决规则：

• 证据优先于推断：报告明确描述的行为映射到对应技术；仅靠攻击链位置推测的行为（如"随后必然提权"）标注为推断级，不得作为组织画像的证据。
• 粒度就低原则：证据只能支撑技术层级时映射到技术（Txxxx）；只有原文明确描述实现变体时才下沉到子技术（Txxxx.yyy）。禁止为"显得专业"过度细化。
• 上下文保留：每条映射必须保留原文摘录（procedure文本）与出处链接，使任何第三方可独立复核；无法溯源到公开出处的映射不进入知识库。

5.2 置信度分级

置信度分级参照威胁情报领域通行的证据强度表达方式，与ATT&CK条目自身的"出处引用"机制互补：ATT&CK官方条目只收录有公开报告支撑的行为，本课题在消费层再叠加证据强度分级，两者不可混为一谈。

5.3 映射示例（Procedure → 技术编号）

以下两条示例展示"报告原文摘录→映射结果"的标准形态（示例行为均为ATT&CK条目公开收录的典型Procedure，本表仅演示标注格式）：

5.4 高频映射错误清单

• 把IOC当TTP：报告中出现IP/域名/哈希只说明基础设施，不构成技术映射；须继续追踪"对该基础设施做了什么"。
• 把工具名当技术名："使用了Cobalt Strike"应映射到其实际执行的行为（如T1055进程注入、T1027混淆），而非软件条目本身。
• 忽视平台约束：技术在目标平台不适用时映射无效（如将ESXi平台技术映射到纯物理Windows环境）。
• 一行为多技术不拆分：复合行为（如"钓鱼邮件投递恶意文档并诱导启用宏"）应拆为T1566.001与T1204.002分别标注。

5.5 映射复核与仲裁机制（终审增补）

仅靠入库清单（§07）的事前校验仍无法完全消除分析员间的一致性偏差。本课题在流程上再设三道事后防线（直接回应KQ-1"映射的准确性与一致性"）：

• 抽样互审：每期入库映射随机抽取不低于10%由第二名分析员独立复核，两人映射不一致率超过15%即触发本期全量复审——用数据而非感觉监控映射质量。
• 争议仲裁：分歧条目提交三人仲裁小组，裁决结论与双方原始映射一并保留并标注"仲裁"；仲裁依据必须引用条目原文定义与公开出处，不允许以资历定案。
• 定期校准：每半年用一批已标注金标准事件（公开评估报告、攻击复盘通报）对团队做盲测，量化团队映射一致率（建议目标≥80%），结果纳入分析师能力档案。

06 · 工具链选型

围绕"初筛—裁决—维护—分发"四个环节，社区已形成较成熟的工具生态（以下均为真实可查的开源项目，维护状态以各仓库为准）：

07 · 入库质量校验清单

TTP知识库入库前逐条过检。以下清单为本课题强制质量门，任一不通过即退回：

本节参考来源（第2页）

以下均为真实可查的权威来源，用于支撑本页事实性表述。