检测覆盖度评估与威胁狩猎

01 · 覆盖度三层度量模型

"我们覆盖了多少ATT&CK技术"是一个极易被粉饰的问题。一条从未触发过、也从未实测过的检测规则，与一条经原子测试验证的规则，在覆盖度上不应等价。本课题将覆盖度拆分为三个必须分别度量的层次：

02 · ATT&CK Navigator图层评分实战

2.1 Navigator与Layer JSON

ATT&CK Navigator是MITRE官方开源的矩阵可视化工具（浏览器端运行，亦提供桌面版），其核心数据载体是Layer JSON文件：一份描述矩阵标注的JSON文档，可被Navigator渲染为彩色热力图，也是覆盖度数据在团队间交换的标准格式。

Layer JSON结构示例（本课题自定义评分，示意）：

{
  "name": "企业检测覆盖度基线 2026Q3",
  "versions": { "attack": "17", "navigator": "5.x" },
  "domain": "enterprise-attack",
  "description": "L2规则覆盖评分，0=无覆盖 50=规则部署 75=已实测",
  "gradient": {
    "colors": ["#ff6666", "#ffe766", "#8ec843"],
    "minValue": 0, "maxValue": 100
  },
  "techniques": [
    { "techniqueID": "T1003", "score": 75,
      "comment": "Sysmon ID10 + EDR行为检测，2026-06原子测试通过" },
    { "techniqueID": "T1059.001", "score": 50,
      "comment": "PowerShell日志+部分规则，未经原子测试" },
    { "techniqueID": "T1557.002", "score": 0,
      "comment": "已知盲区：缺网络侧ARP/NDP遥测" }
  ],
  "filters": { "platforms": ["Windows", "Linux"] }
}

评分的颜色梯度、注释字段的强制填写要求、以及按平台过滤的视图，共同保证图层"既能给人看，也能给机器读"。本课题建议：comment字段必填且必须包含验证证据的引用（测试编号、规则ID或工单号），否则视为无效标注。图层文件应入版本库管理，与检测规则仓库联动更新。

2.2 本课题建议评分模型

说明：该评分模型为本课题自定义建议（针对KQ-2），非MITRE官方标准；Navigator本身不限定评分语义，各组织应公开自己的评分定义以保持可比性。

2.3 多图层管理与动态图层

工程实践中建议维护三类图层：①基线图层——按上述评分模型记录检测现状（L2/L3混合视图）；②威胁图层——导入第2页产出的TTP知识库映射结果，叠加本组织关注组织的TTP热力；③差集视图——Navigator支持图层叠加与差集渲染，"威胁图层−基线图层"即直观呈现检测缺口。多图层方法亦为CTID社区实践所推荐（分层叠加而非单一全集图层）。

03 · 数据源与遥测能力对齐

3.1 Data Sources / Data Components体系

自ATT&CK v10（2021年10月）起，技术条目的检测数据需求被结构化为Data Sources（数据源）与Data Components（数据组件）两层，并以独立对象形式在STIX数据包中发布（v17 Enterprise域含37个数据源对象）。这使"狩猎前遥测校验"第一次可以自动化：将技术的data components与企业遥测清单做集合运算，即可得出狩猎可行性结论。

3.2 数据域到遥测手段的映射参考

3.3 对齐示例：T1003.001 LSASS Memory

以子技术T1003.001（LSASS内存凭证转储）为例，其检测需要进程访问类遥测。在Windows侧的典型采集方式是Sysmon的进程访问事件（事件ID 10）或对lsass.exe的受保护进程访问审计，配合EDR的内存读取行为遥测；缓解侧则对应启用LSA保护（RunAsPPL）等本地加固项。若企业未部署任何此类遥测，则无论购买多少"覆盖该ATT&CK技术"的检测规则，L1层次即为零——这是数据源对齐校验要避免的第一类浪费。

04 · 威胁狩猎闭环：从情报到假设

威胁狩猎与告警响应的本质区别在于：狩猎从假设出发、主动求证。ATT&CK映射使假设生成首次可以被规范化——每条高置信TTP情报都可以转化为一条结构化的狩猎假设：

4.1 狩猎假设模板（本课题建议）

4.2 狩猎查询示例（伪代码示意）

以下查询为方法示意（KQL风格伪代码，非可直接运行的成品）：

// 假设：本环境存在 T1003.001（LSASS内存转储）行为
// 特征：非系统进程以具备读取权限的句柄访问 lsass.exe
DeviceProcessEvents
| where FileName =~ "lsass.exe"
| where InitiatingProcessFileName !in~ ("wininit.exe", "lsass.exe")
| where ProcessCommandLine has_any ("sekurlsa", "dmp", "dump")
   or GrantedAccess has_any ("0x1010", "0x1410", "0x143a", "0x1438")
| project TimeGenerated, DeviceName, InitiatingProcessFileName,
          InitiatingProcessCommandLine, GrantedAccess

注：进程访问权限掩码的具体取值随EDR厂商字段定义不同而异，落地时以本环境EDR文档为准；该示例仅演示"假设→特征→查询"的转化形态。

05 · 原子化验证与对抗模拟

5.1 Atomic Red Team：检测规则的"单元测试"

Atomic Red Team（Red Canary公司开源）将ATT&CK技术拆解为可在本地安全执行的原子测试（每个测试对应具体技术/子技术编号），是目前业界验证检测覆盖最广泛使用的基准库。本课题将原子测试编号纳入覆盖度证据链：L3"实测验证"的判定依据即为对应原子测试的执行记录。执行原子测试必须在授权隔离的测试环境中进行，且部分测试具有真实攻击性（如凭证转储类），须按测试说明逐条评估执行风险。

5.2 CALDERA与对抗模拟库

CALDERA（MITRE开源）是基于ATT&CK的对手模拟平台，支持按对抗画像（adversary profile，由ATT&CK技术组成的能力集）自动执行多阶段攻击路径。CTID维护的Adversary Emulation Library公开了多个APT组织的完整对抗模拟计划（如FIN7、Turla、Sandworm等），可直接转化为紫队演练剧本。与原子测试的"单点验证"互补，CALDERA解决的是"串成攻击链后检测是否仍然有效"的问题——包括告警关联、时序窗口与跨战术归因能力。

06 · 检测工程与规则生态

6.1 Sigma：通用检测规则交换格式

覆盖度评估解决"缺什么"，检测工程解决"怎么补"。Sigma是社区通用的日志检测规则开放格式（由Florian Roth等人发起的开源项目），以YAML描述检测逻辑，可编译为Splunk SPL、Microsoft Sentinel KQL、Elastic EQL/KQL等多种后端查询语言。其设计目标相当于检测领域的"通用指标格式"：规则与技术编号（logsource/tags中的attack字段）绑定，天然适合与ATT&CK覆盖度图层联动——规则库中的attack标签即可反向生成L2覆盖视图。

6.2 检测规则生命周期管理

• 需求来源：狩猎验证结论（第4步闭环）、评估缺口（差集视图）、新情报映射（第2页产出）三类入口统一进检测工程工单。
• 开发规范：每条规则强制标注ATT&CK技术/子技术编号、数据源、作者、版本与回滚方案；优先复用Sigma社区规则并做本地化适配。
• 测试门槛：合并前通过原子测试实测（对应L3证据）；无法实测的规则最高记50分（L2）。
• 运营反馈：告警量、误报率、MTTD纳入规则健康度看板，低效规则降级或退役，图层评分同步回写。

07 · ATT&CK Evaluations评估生态

自2018年起，MITRE Engenuity基于ATT&CK框架运行ATT&CK Evaluations：在统一实验环境中按公开报告复现特定APT组织或犯罪集团的攻击步骤，让参测厂商产品自由检测，原始结果全部公开且MITRE不排名次。各轮次概要如下（轮次信息以attackevals官网为准）：

注：R6/R7场景构成与厂商退出信息以attackevals官网及公开媒体报道为准；厂商退出原因各方表述不一，本课题不作动机推断。

检测质量分级体系（Detection Categories，官方方法学）

解读各轮次结果前必须先理解官方记分语义——评估将每条检测记为以下类别之一，并可附加修饰符：

说明：该分类为MITRE Engenuity评估方法学的公开记分语义；独立学术再分析（arXiv:2401.15878）在量化时亦以Technique级及以上为"检测置信"口径，与本表一致。

独立学术研究（arXiv:2401.15878，对评估公开JSON数据的再分析）给出了行业级的量化参照：参测EDR产品的技术级检测置信度中位数从APT29轮的50%升至Carbanak+Fin7轮的72%，再到Wizard Spider+Sandworm轮的88.25%；同一研究中，分析（Analytic）级覆盖率平均值从69.8%升至85.5%，评估涉及的数据源从2019年的9种扩展到2022年的41种，并发现Linux平台的检测与防护能力明显弱于Windows平台（该结论为独立学术研究观点，非MITRE官方表述）。

7.1 ER7结果与评估生态收尾

ER7结果于2025年12月正式发布：双场景为Scattered Spider（以社会工程为主的金融动机犯罪组织，与第5页案例A钓鱼链条直接对应）与Mustang Panda（中国背景间谍组织），共11家厂商参与（Acronis、AhnLab、CrowdStrike、Cyberani、Cybereason、Cynet、ESET、Sophos、Trend Micro、WatchGuard、WithSecure），首次将AWS云环境纳入对手仿真，并首次引入良性业务活动背景流量（benign business activity）——对因过度调优而对此类正常行为产生大量误报的产品予以惩罚性计分，直接回应了业界对"实验室高分、实战高误报"的长期批评。

7.2 行业威胁画像数据（M-Trends 2025，报告口径引用）

Google Cloud M-Trends 2025（基于全球Mandiant事件响应数据）给出的技术流行度参照：T1059 Command and Scripting Interpreter出现于44.6%的案例，T1027 Obfuscated Files or Information为37.3%，T1021 Remote Services为35.3%；Mandiant在2024年为ATT&CK新增了2个技术、29个子技术与570项技术映射。对本课题的两点启示：①执行与防御规避类技术（v19下分属Execution/Stealth/Defense Impairment）是任何组织的覆盖度基线优先项；②行业流行度数据可作为第5页"案例交集→优先级"方法的加权因子（在"高置信×低覆盖"之上叠加流行度权重）。

7.3 归因信息与检测质量的关系（方法学提示）

从评估方法学本身即可得出一个常被忽视的结论：MITRE评估记分只记录行为检测质量（None/Telemetry/General/Tactic/Technique），威胁组织归因标签并不参与记分——"检出这是T1003"与"声称这是某组织"在评估中是两个完全独立的问题。独立学术研究（arXiv:2401.15878）逐轮追踪的量化指标（检测置信度、Analytic覆盖率）同样不含归因维度。这与第4页"工具重叠不构成归因""归因必须带置信度"的纪律相互印证：归因信息是检测质量的弱指标，检测工程不应以"能报组织名"为优化目标。

本节参考来源（第3页）

以下均为真实可查的权威来源，用于支撑本页事实性表述。