实战案例深度解析

01 · 案例研究方法与图层约定

本页每个案例都遵循第2页的六步提取流水线与映射裁决规范，并统一一套图层着色约定，使不同案例之间可横向比较：

1.1 每个案例的标准输出物

• 行为—技术映射表：攻击步骤 → ATT&CK 技术/子技术（精确到子技术）→ 裁决依据 → 置信度。
• Navigator 图层片段：对案例中涉及的技术按上述评分模型着色，直观呈现"已覆盖/盲区"。
• 狩猎假设清单：对高置信且已具备遥测的技术，给出可执行的狩猎假设（格式见第3页 §04）。

02 · 案例A：金融诈骗钓鱼链

与本院反钓鱼、反诈骗业务直接对应。该链条融合了"语音钓鱼 + 反向代理（AitM）+ MFA 疲劳 + 会话劫持 + 远程工具"的组合拳，是近年高发的"假冒客服/公检法"诈骗的技术内核。

2.1 行为—技术映射表

2.2 Navigator 图层片段（本环境着色示意）

以下 Layer JSON 片段演示对案例A涉及技术的评分着色（comment 含验证证据，遵循第3页 §02 规范）：

{
  "name": "案例A-金融诈骗钓鱼链-覆盖度基线",
  "versions": { "attack": "17", "navigator": "5.x" },
  "domain": "enterprise-attack",
  "gradient": { "colors": ["#ff6666","#ffe766","#8ec843"], "minValue":0, "maxValue":100 },
  "techniques": [
    { "techniqueID":"T1566.002", "score":75,
      "comment":"邮件安全网关+URL改写已实测；含原子测试" },
    { "techniqueID":"T1566.004", "score":25,
      "comment":"语音渠道无遥测，仅短信网关侧部分可见(L1)" },
    { "techniqueID":"T1656",     "score":0,
      "comment":"话术层无技术检测点，依赖员工意识培训" },
    { "techniqueID":"T1557",     "score":50,
      "comment":"有TLS+域名遥测但未专门建模AitM代理" },
    { "techniqueID":"T1621",     "score":50,
      "comment":"IdP审计日志规则已部署，未原子实测" },
    { "techniqueID":"T1539",     "score":25,
      "comment":"依赖SaaS审计日志，会话层可见性不足(L1)" },
    { "techniqueID":"T1078.004", "score":75,
      "comment":"UEBA异常登录规则+实测通过" },
    { "techniqueID":"T1219",     "score":50,
      "comment":"EDR软件清单监控规则已部署" }
  ]
}

版本注：图层中T1219等条目名称以所加载数据包版本为准（v17起更名Remote Access Tools）；v19 Navigator中T1557等条目战术归属未变，但T1562类旧编号会触发"已撤销"告警（见第6页CI质量门）。

2.3 由案例A生成的狩猎假设（节选）

• H-A1（T1078.004）：若攻击者正用窃得的云账号访问财务 SaaS，则 IdP 审计日志中应出现"非常用地理/新设备/非常规时段"登录特征——检索窗口 90 天。
• H-A2（T1219）：若出现"客服远程协助"类软件，则终端软件清单与进程树中应出现非白名单 RMM 进程——检索历史进程事件。
• H-A3（T1539）：若会话 Cookie 被 AitM 劫持，则同一账号应出现"无 MFA 事件但产生新会话"的异常——对照 IdP MFA 日志与 SaaS 会话日志。

03 · 案例B：勒索软件运营（RaaS）攻击链

勒索软件即服务（RaaS）已形成标准化攻击流水线。本案例依据 ATT&CK 官方条目中收录的勒索常规行为与公开事件报告整理，覆盖从初始进入到影响的完整生命周期，用于演练"全链检测"而非单点检测。

3.1 行为—技术映射表（全链）

版本注：表中T1562族（含T1562.001）在v19中已撤销并重构为T1685/T1686/T1687（见第1页§3.4节）；本案例以v17为基线演示，生产迁移纪律见第6页CI-2质量门。

3.2 由案例B生成的狩猎假设（节选）

• H-B1（T1003）：若发生 LSASS 内存转储，则进程访问事件中应出现非系统进程以读取权限句柄访问 lsass.exe（规则见第8页）。
• H-B2（T1490）：若攻击者抑制恢复，则卷影复制（vssadmin/ WMI）删除事件与备份服务停止事件应被监控并高优告警。
• H-B3（T1021）：若发生 RDP/SMB 横向，则认证日志中应出现"新源主机→多目标"的横向认证模式（与基准行为比对）。

04 · 案例C（简）：移动钓鱼（Smishing）映射 Mobile 矩阵

移动端钓鱼（短信钓鱼 + 恶意 APP + 仿冒移动银行）是本院青少年与企业移动安全教育的重点。其技术描述落在 ATT&CK Mobile 矩阵（v17：12 战术、75 技术、46 子技术、15 组织；v18 微调为 77 技术、47 子技术、17 组织）。

说明：Mobile 矩阵的具体技术编号体系与 Enterprise 独立，消费时应以官方 Mobile 矩阵为准（attack.mitre.org/matrices/enterprise/mobile）；v18起Mobile矩阵已起步Detection Strategies（v18口径124项），检测侧内容随版本扩充。本案例仅给出维度级映射，避免在不确定的具体编号上臆造。

05 · 跨案例方法论提炼

5.1 三个反复出现的映射规律

• 颗粒度下沉到有证据处：案例A的"AitM 代理"映射到 T1557 家族而非任意子技术（除非原文明确 ARP 缓存投毒才下沉 T1557.002）；案例B的"票据传递"明确为 T1558 而非泛泛的"凭证访问"。
• 复合行为必须拆分：案例A"打电话+发链接+装软件"拆成 T1656/T1566.002/T1219 三条；案例B"钓鱼投恶意文档并诱导宏"拆 T1566.001 与 T1204.002。与第2页 §5.4 高频错误清单一致。
• 置信度服从证据强度：案例A中"话术层 T1656"多为低置信（行为可观察但难归因），而"T1078.004 异常登录"若有多源日志印证则为高置信。统一按第2页 §5.2 三级标注。

5.2 案例驱动的检测优先级

将两个案例的"高置信 + 低覆盖"技术求交集，即得到本院最优先补齐的检测项：T1539（会话Cookie劫持，L1 不足）、T1557（AitM，L2 未实测）、T1003（LSASS，须实测）、T1490（抑制恢复，常漏）。这正是第3页"威胁图层 − 基线图层 = 缺口"的工程落地。

5.3 v19映射前瞻性提示（当前版本基线）

v19（2026-04-28，当前版本）新增的AI滥用相关技术——Social Engineering（社工泛化）、Generate Content（AI生成内容/深度伪造素材）、Query Public AI Services（查询公共AI服务辅助攻击）——为"深度伪造素材制作→定向社工投递"类钓鱼首次提供了行为层标注锚点。本学院深伪钓鱼演练剧本与课程案例库在下一基线迁移时应：①在Initial Access与Reconnaissance战术列补充核查AI相关条目；②将Generate Content类条目与第7页ATLAS姊妹框架对照（模型层行为归ATLAS，基础设施与身份层行为归ATT&CK）；③具体子技术划分一律以v19矩阵页面为准，不臆造编号。

06 · 本页交付物

• 两个完整 ATT&CK 映射案例卡（金融诈骗钓鱼链、勒索软件运营链），含行为—技术映射表、Navigator 图层片段与狩猎假设。
• 案例驱动的检测缺口清单模板（两案例交集 → 优先补齐项）。
• 移动钓鱼（Smishing）维度级映射示例（用于本院移动安全教育课程）。

本节参考来源（第5页）

以下均为真实可查的权威来源，用于支撑本页事实性表述。