01 · 为什么需要专门讨论其他矩阵
三个矩阵共享同一套对象模型（战术/技术/子技术/组织/软件/战役，以及 v18 新增的 Detection Strategies“检测策略”/Analytics“分析”），但平台、资产、数据源与缓解措施差异巨大。用 Enterprise 的终端遥测思维去理解 ICS 或 Mobile，会出现"检测点根本不存在"的盲区。对本学院而言，移动钓鱼（Mobile）与关基工控（ICS）是必须补齐的视角。
统一语言、差异对象：跨矩阵时"战术 ID 相同、技术内容不同"。例如 Initial Access（TA0001）在 Enterprise、Mobile、ICS 中都是初始访问，但各自的技术集合完全不同。映射时务必锁定"域 + 技术编号"二元组，避免跨域混用编号。
1.1 v19战术拆分的跨域影响（2026-04-28，当前版本）
v19将Enterprise矩阵的Defense Evasion拆分为Stealth（TA0005，继承原ID）——归入"混入合法行为以规避检测、防御系统仍在运行但被欺骗"类（隐藏构件、混淆、伪装）与Defense Impairment（TA0112，新ID）——归入"主动削弱/破坏防御能力"类（禁用EDR、篡改防火墙、破坏日志管道），约94%原条目被重新分配；Mobile与ICS矩阵暂不适用本次拆分，仍保留Defense Evasion。按战术列统计的覆盖度画像在v19下必须重基线。同时v19撤销T1562并重构为T1685（Disable or Modify Tools）、T1686（防火墙族）、T1687（Exploitation for Defense Impairment），引用旧编号的规则与知识库须按官方迁移表更新。
02 · 云与身份：Enterprise 中的真实可用技术编号
云、SaaS 与身份滥用是近年增长最快的攻击面，且全部落在 Enterprise 矩阵（平台含 SaaS、Identity、Office 365、Google Workspace、Cloud、Containers、ESXi 等）。以下技术编号均为 ATT&CK 公开条目，可直接用于本院云安全检测建设：
| 技术/子技术 | 云/身份攻击含义 | 典型检测数据 |
|---|---|---|
| T1078.004 | Valid Accounts: Cloud Accounts——滥用窃得的云/SaaS 账号 | IdP 审计日志、SaaS 登录/操作审计 |
| T1528 | Steal Application Access Token——窃取 OAuth/应用令牌（含 OAuth 应用滥用） | 云审计日志、令牌签发事件 |
| T1550 | Use Alternate Authentication Material（含 T1550.001 应用访问令牌、T1550.003 Web 会话 Cookie） | 认证日志、会话元数据 |
| T1098 | Account Manipulation（T1098.001 额外云凭据、T1098.003 额外云角色） | IAM 变更事件、角色分配日志 |
| T1484 | Domain/Cloud Policy Modification——修改云租户/域策略以放宽控制 | 租户策略变更审计 |
| T1195 | Supply Chain Compromise（T1195.001 外部远程服务、T1195.002 软件供应链、T1195.003 硬件供应链） | 软件/依赖来源、构建流水线日志 |
| T1213 | Data from Information Repositories（T1213.001/002 云存储库） | 云存储访问日志 |
| T1610 / T1611 | Deploy Container / Escape to Host——容器逃逸与部署 | 容器编排（K8s）审计、主机遥测 |
| T1537 | Transfer Data to Cloud Account——将数据外迁至攻击者控制的云账号 | 跨租户传输、出站流量 |
| T1496 | Resource Hijacking——云算力劫持（挖矿） | 计费异常、CPU 遥测 |
本院业务衔接：金融诈骗案例A中的"云账号持久化（T1078.004）"与"会话 Cookie（T1550.003 / T1539）"即属此列；v18 明确新增"OAuth 应用集成滥用""CI/CD 流水线""Kubernetes""云数据库"相关技术，云身份方向的检测建设应与版本同步更新（具体新增编号以官方矩阵为准，不臆造）；v19起部分技术战术归属已随Stealth/Defense Impairment拆分调整，引用时须固定版本。
2.1 云身份的"检测前置"差异
云身份攻击的检测数据主要来自控制面审计日志（如 CloudTrail 类、IdP 审计、SaaS 审计），而非主机 EDR。这要求第3页的"L1 遥测对齐"在云场景改写为"审计日志订阅完整性"评估——很多组织的盲区正是"云账号被用却无审计日志可查"。
03 · Mobile 矩阵专题
Mobile 矩阵覆盖 iOS/Android 设备的攻击与防御，与本院移动安全教育（短信钓鱼、仿冒 APP、青少年移动安全）直接相关。其结构与 Enterprise 同构但对象规模不同。
| 矩阵 | 首次公开 | 战术数 | 技术数 | 子技术数 | 对象规模要点（v18） |
|---|---|---|---|---|---|
| Enterprise | 2015 | 14 | 216 | 475 | 172 组织 / 784 软件 / 52 战役 / 691 Detection Strategies / 1739 Analytics / 106 Data Components |
| Mobile | 2017 | 12 | 77 | 47 | 17 组织 / 122 软件 / 3 战役 / 124 Detection Strategies / 211 Analytics / 17 Data Components |
| ICS | 2020-01 | 12 | 83 | 0 | 14 组织 / 23 软件 / 7 战役 / 52 Mitigations / 18 Assets / 83 Detection Strategies / 82 Analytics / 36 Data Components |
注：上表为 ATT&CK v18（2025年10月28日发布）官方统计口径（attack.mitre.org/resources/updates/updates-october-2025）。v18 全矩阵合计 910 软件 / 176 组织 / 55 战役；并新增 Detection Strategies 与 Analytics 两类防御对象，同时弃用（deprecate）旧 Data Sources、改为 Data Components“数据组件”。各版本数量随半年更新变化，引用须注明版本。v19（2026-04-28，当前版本）三域对照见下表：
| 矩阵 | 战术 | 技术 | 子技术 | 组织 | 软件 | 检测策略 | 分析 | 数据组件 |
|---|---|---|---|---|---|---|---|---|
| Enterprise | 15（拆分） | 222 | 475 | 174 | 821 | 697 | 1758 | 106 |
| Mobile | 12（保留） | 77 | 47 | 20 | 126 | 124（起步） | 211 | 29 |
| ICS | 12（保留） | 79 | 18（首次引入） | 14 | 23 | 97 | 96 | 36 |
注：v19全矩阵合计949软件/178组织/59战役；ICS另有18项Assets、52项Mitigations。来源：MITRE v19官方发布说明（含v19.1补丁、v19.2说明）。
3.1 Mobile 与本院业务的衔接点
- Smishing（短信钓鱼）：移动端初始访问的主要入口，与 Enterprise T1566 同源但平台约束为移动端，宜在课程中单独成模块。
- 恶意 APP / 侧载：移动特有的执行与持久化路径，对应 Mobile 矩阵的 Execution/Persistence 战术（具体编号以官方 Mobile 矩阵为准）。
- v18 移动侧更新：新增Wi-Fi发现、无线嗅探等移动/IoT环境检测内容（第三方解析与官方发布说明互证）；"Abuse Accessibility Features"技术在弃用多年后于 v18 重新启用（last seen v6，官方发布说明明确记载）；即时通讯"关联设备（Linked Devices）"类滥用等条目的具体归属，以官方 Mobile 矩阵页面与发布说明为准，本课题不臆造编号。
04 · ICS 矩阵专题
ICS（工业控制系统）矩阵面向 PLC、RTU、SCADA、historian 等工控环境，是关基保护的核心知识库。它与 Enterprise/Mobile 的最大区别在于引入"资产（Assets）"对象与更完备的缓解措施集合。
4.1 ICS 的特有对象
| 对象 | 含义 | v18 数量 |
|---|---|---|
| Assets（资产） | 工控场景中的设备/系统类型（如控制器、历史数据库、工程工作站），是 ICS 矩阵独有 | 18 项（v18 新增 DCS 控制器、防火墙、交换机等） |
| Mitigations（缓解） | 工控场景的缓解措施，相对 Enterprise 更完备 | 52 项 |
| Data Sources | v18 起弃用旧 Data Sources，改为 Data Components | 36 个 Data Components |
| Analytics | v18 新增的平台级检测分析逻辑 | 82 项 |
4.2 工控检测要点
- 遥测来源不同：工控检测依赖现场总线/协议遥测、工程师站操作日志、PLC 逻辑变更记录，而非终端 EDR。
- 影响战术（Impact）权重高：ICS 的 Impact 常表现为物理过程破坏（如 ICS 特有技术 T0814、T0831、T0883 等），与 Enterprise 的"加密/渗出"性质不同。
- 安全优先级倒置：可用性 > 完整性 > 保密性（CIA 三性与 IT 相反），检测设计须避免影响生产连续性。
- 版本基线：v19起ICS首次引入子技术（18项，v18及以前为0），引用ICS条目层级时以v19矩阵为准。
严谨性：本页对 ICS/Mobile 的具体技术编号仅给出"战术/对象"层级，未逐条断言子技术编号，以避免在不确定的具体编号上臆造；工程落地时一律以官方矩阵页面为唯一权威来源。
05 · 跨矩阵统一治理
三个矩阵最终应汇入同一套治理：
- 统一版本基线：三域随同一版本节奏（约半年）更新，知识库、图层、检测标注必须同步刷新版本号（机制见第2页 §04.1、第6页 §07）。
- 统一 T 编号语言：跨矩阵协作时以"域 + 技术编号"定位，避免战术 ID 相同造成的跨域误用。
- 统一覆盖度模型：第3页的三层度量（L1/L2/L3）同样适用于云审计、移动、工控——只是"L1 遥测"在各域指代不同数据源（主机 EDR / 云审计 / 工控协议遥测）。
- 统一合规边界：三域映射均须遵守第1页 §07 的合规与伦理声明，尤其是 ICS 涉及关基，行动须严格授权。
姊妹框架提示：面向AI系统的模型/智能体特有威胁可参考MITRE ATLAS知识库——ATT&CK覆盖AI系统所运行的常规基础设施与身份威胁，ATLAS覆盖模型层行为，两者按层互补；v19新增的AI滥用技术（Generate Content等）与之形成锚点衔接。本课题不展开ATLAS编号体系。
本节参考来源（第7页）
以下均为真实可查的权威来源，用于支撑本页事实性表述与 v18 统计。
MITRE ATT&CK v18 官方发布说明（2025-10-28，含三域统计与 Detection Strategies/Analytics 对象、Data Components 取代 Data Sources）：attack.mitre.org/resources/updates/updates-october-2025
ATT&CK Enterprise 技术矩阵（云/身份相关技术编号权威出处）：attack.mitre.org/matrices/enterprise；T1078.004 / T1528 / T1550 / T1098 / T1195 等条目可按编号复核
ATT&CK Mobile 矩阵：attack.mitre.org/matrices/enterprise/mobile；ICS 矩阵：attack.mitre.org/matrices/ics
ReversingLabs对v18的第三方技术解析（Wi-Fi发现/无线嗅探等Mobile新增内容的佐证，经终审核验可达）：reversinglabs.com博客
MITRE ATT&CK v19官方发布说明（2026-04-28；v19跨域统计与Defense Evasion拆分的权威出处，经终审核验可达）：attack.mitre.org/resources/updates/updates-april-2026