01 · 研究背景与意义
1.1 从IOC到TTP：检测范式的跃迁
IOC（失陷指标）——IP地址、域名、文件哈希——易于被攻击者更换：换一次IP的成本接近于零，更换一个域名仅需几分钟。安全界广泛引用的"痛苦金字塔"（Pyramid of Pain，David Bianco于2013年提出）形象地说明了这一点：检测哈希值给攻击者造成的"痛苦"最低，而检测TTP——攻击者的战术、技术与程序——最难被规避，因为行为模式是攻击者最难改变的一层。
MITRE ATT&CK正是围绕TTP构建的知识库。它为每一条观察到的攻击行为赋予唯一的技术编号（如T1003 OS Credential Dumping、T1059.001 PowerShell），使不同组织、不同厂商的威胁报告可以用同一套语言描述对手行为。IOC层面的情报共享解决"这一次攻击"的拦截，TTP层面的情报沉淀解决"这一类攻击"的识别——这是威胁情报从"应急数据"走向"知识资产"的关键一跃。
为什么行为检测更难被规避：以钓鱼为例，攻击者更换发件域名、邮件主题、附件哈希均只需分钟级成本；但其要完成"窃取会话凭证→绕过MFA→建立持久访问"的行为序列，绕不开T1539（窃取Web会话Cookie）、T1621（MFA请求轰炸）、T1078（有效账号）等有限的行为模式集合。检测逻辑锚定在行为层，规则寿命以"年"计而非以"天"计——这正是痛苦金字塔顶层的技术含义，也是本课题选择ATT&CK作为映射标的的根本原因。
1.2 ATT&CK的诞生与定位
ATT&CK（Adversarial Tactics, Techniques & Common Knowledge）由MITRE在其运营的联邦政府资助研发中心（FFRDC）工作中于2013年前后开始构建，依托美国国土安全部项目对真实攻击事件进行系统性的行为观察与编目，项目内部代号为FMX（Fort Meade eXperiment），初衷是研究基于终端遥测与分析学的入侵后（post-compromise）检测。ATT&CK于2015年5月公开发布，首发时含9个战术、96项技术；十年后Enterprise矩阵技术数量增长约一倍，组织/软件/检测对象规模增长近十倍（版本统计见§03）。其定位非常明确：它不是理论推演出来的攻击分类学，而是对现实世界中已观察到的对手行为的策展式目录（curated catalog）——每一条技术条目都附有真实攻击组织或恶意软件使用该技术的公开报告出处。
经过持续演进，ATT&CK已形成Enterprise（企业）、Mobile（移动）、ICS（工业控制）三大矩阵，并通过MITRE Engenuity下设的威胁信息防御中心（CTID, Center for Threat-Informed Defense）推动社区工具链建设（Navigator、Workbench、Decider、TRAM等）。同时，MITRE Engenuity自2018年起运行ATT&CK Evaluations评估计划，以公开方法学检验商业EDR/XDR产品对真实APT行为的检测能力，其结果以原始数据形式公开、不排名次，已成为业界选购与验证检测能力的重要参照（评估生态详见第3页§06）。
1.3 与既有攻击阶段模型的关系：互补而非替代
ATT&CK常与被洛克希德·马丁公司推广的网络杀伤链（Cyber Kill Chain）（2011年，Hutchins等人在论文《Intelligence-Driven Computer Network Defense》中提出，共7个阶段）比较。二者视角不同、互为补充：
| 维度 | 网络杀伤链（7阶段） | MITRE ATT&CK（战术×技术矩阵） |
|---|---|---|
| 基本视角 | 单线程阶段流水线：侦察→武器化→投递→利用→安装→C2→达成目标 | 二维知识矩阵：战术（为什么）×技术/子技术（怎么做），另含组织、软件、战役等关联对象 |
| 行为描述 | 阶段级，无技术编号体系 | 技术级（T编号）与子技术级（T编号.子编号），每条附公开报告出处 |
| 典型用途 | 攻击进程理解、恶意软件分析框架、阻断点识别 | 检测覆盖度评估、威胁狩猎假设、组织画像与归因、产品能力对标 |
| 关系说明 | 杀伤链的"投递/利用"大致对应ATT&CK的Initial Access与Execution战术列；杀伤链阶段可视为ATT&CK战术的一种粗粒度排序视角。实际工程中两者常配合使用：杀伤链给攻击定阶段，ATT&CK给行为定编号。 | |
说明：上表为本课题基于两份公开资料的对比归纳（Kill Chain见Hutchins et al., 2011；ATT&CK见attack.mitre.org），非任何一方的官方对照表。
1.4 与迪妙反钓鱼业务的直接关联
迪妙网络空间安全学院深耕反钓鱼、反诈骗与企业安全意识培训。钓鱼及其后续攻击链条天然是一个典型的ATT&CK行为序列：初始访问阶段的T1566（Phishing，含附件、链接、语音、服务等子技术）→ 执行阶段的T1204（User Execution）→ 凭证访问阶段的T1621（MFA Request Generation）、T1539（Steal Web Session Cookie）等。将钓鱼案例库中的攻击步骤系统标注ATT&CK技术编号，一方面使学院攻防演练剧本与课程案例获得可检索、可度量的结构化知识形态，另一方面直接支撑演练沙盘的检测点设计与对抗效果评估。第4页将给出完整的钓鱼场景映射示例。
核心科学问题：如何将异构威胁情报（报告、样本、复盘、评估数据）中描述的对手行为，准确、一致、可复核地映射到ATT&CK技术体系，并进一步转化为可度量的检测覆盖度与可执行的狩猎行动？本课题围绕"映射准确性—覆盖可量化—行动可落地"三个层次展开工程化研究。
02 · 研究目标与关键问题
- TTP结构化：从威胁报告、样本分析、攻击复盘中提取TTP，映射至ATT&CK技术编号，建立可机器读取的知识库（第2页）。
- 检测可量化：基于ATT&CK Navigator构建企业检测覆盖热力图，用数据驱动检测规则优先级排序（第3页）。
- 狩猎可操作：将CTI中的ATT&CK映射自动转化为可执行的威胁狩猎假设，并经对抗模拟验证闭环（第3、4页）。
- 归因可支撑：基于TTP画像辅助APT组织识别与归因分析，并明确归因结论的置信度边界（第4页）。
2.1 三个关键研究问题
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 映射的准确性与一致性 | 不同分析员对同一段攻击描述可能映射到不同技术（粒度选择、过度映射、上下文丢失），如何建立可复核的映射裁决规范与质量门？ | 第2页 §03—§05 |
| KQ-2 | 覆盖度的量化与校准 | "有检测规则"与"检测经实测验证"之间差距巨大，评分模型如何避免自欺欺人的"覆盖度剧场"？ | 第3页 §01—§03 |
| KQ-3 | 情报到行动的转化 | 映射结果如何自动转化为狩猎假设与检测工程任务，并通过对抗模拟形成验证闭环？ | 第3页 §04—§05 / 第4页 |
2.2 研究范围界定
- 域范围：以Enterprise矩阵为主战场（技术体量约占三大矩阵的六成以上，见§03.1），Mobile/ICS矩阵仅在涉及移动钓鱼、工控钓鱼场景时引用其条目。
- 版本范围：统计数据以v17（2025年4月22日—2025年10月27日）为基线；机制性内容（对象模型、数据管道、评分方法）不受版本约束，但引用具体编号时须固定版本（见§03.3）。
- 深度范围：本课题做到"映射方法论与工程落地"层面，不展开具体检测规则的编写细节（检测语法属第3页配套生态的厂商/社区实践）。
03 · ATT&CK知识体系全景
3.1 三大矩阵对比
ATT&CK按应用场景划分为三个矩阵，各自独立演进、共享统一的对象模型。以下数据均为官方v17发布说明口径：
| 矩阵 | 首次公开 | 战术数 | 技术数 | 子技术数 | 适用场景 |
|---|---|---|---|---|---|
| Enterprise 企业矩阵 | 2015年 | 14 | 211 | 468 | Windows/macOS/Linux、网络设备、ESXi虚拟化、容器、SaaS与云环境、办公套件（Office 365/Google Workspace）、身份提供方（如Entra ID/Okta）等企业IT场景 |
| Mobile 移动矩阵 | 2017年 | 12 | 75 | 46 | iOS/Android移动设备的攻击与网络效应 |
| ICS 工控矩阵 | 2020年1月 | 12 | 83 | 0 | 工业控制系统（PLC、RTU、SCADA、historian等）与OT网络；另含52项缓解措施、14类资产（Assets）与17个数据源 |
注：技术/战术数量为ATT&CK v17（2025年4月22日发布）官方发布说明中的统计数据；ICS矩阵无子技术层级。各版本数量会随半年一次的版本更新而变化，引用时须注明版本号。
3.2 Enterprise矩阵的14个战术
战术（Tactic）回答"攻击者为什么这么做"——即攻击者在攻击生命周期中的阶段性目标，构成Enterprise矩阵的列：
| 战术名称 | 战术ID | 阶段目标 |
|---|---|---|
| Reconnaissance 侦查 | TA0043 | 收集目标组织信息以寻找攻击切入点 |
| Resource Development 资源开发 | TA0042 | 建立或获取攻击所需的基础设施与资源 |
| Initial Access 初始访问 | TA0001 | 获取目标网络内的初始立足点（钓鱼、漏洞利用、公开服务等） |
| Execution 执行 | TA0002 | 在目标系统上运行攻击者控制的代码 |
| Persistence 持久化 | TA0003 | 维持对目标的长期访问能力 |
| Privilege Escalation 权限提升 | TA0004 | 获取更高级别权限 |
| Defense Evasion 防御规避 | TA0005 | 规避检测与审计 |
| Credential Access 凭证访问 | TA0006 | 窃取账号凭证（口令、哈希、票据、令牌、会话Cookie等） |
| Discovery 发现 | TA0007 | 探查内网环境与资产 |
| Lateral Movement 横向移动 | TA0008 | 在内网中扩展控制范围 |
| Collection 收集 | TA0009 | 聚集攻击目标数据 |
| Command and Control 命令与控制 | TA0011 | 与受控系统建立通信通道 |
| Exfiltration 数据渗出 | TA0010 | 将目标数据窃取出去 |
| Impact 影响 | TA0040 | 破坏、篡改、加密或拒绝服务 |
两点结构知识值得强调：①Reconnaissance（TA0043）与Resource Development（TA0042）是2020年10月v8版本将原独立Pre-ATT&CK域并入Enterprise矩阵时新增的战术，编号"最大"却是最"年轻"的两列；②同一技术可服务于多个战术（如T1059 Command and Scripting Interpreter横跨Execution与Defense Evasion），战术列之间不存在严格的先后依赖——矩阵是知识组织方式，不是攻击流程图。
版本注：v19（2026-04-28，当前版本）起Enterprise战术扩至15个——Defense Evasion拆分为Stealth（TA0005）与Defense Impairment（TA0112）；Mobile/ICS矩阵暂不适用本次拆分，仍保留Defense Evasion。引用战术列时须固定版本。
3.3 版本演进与本研究的数据基线
ATT&CK采取约每半年一次的版本发布节奏（通常为4月与10月）。本研究以v17（2025年4月22日发布）为统计基线，近四个版本的官方口径演进如下：
| 版本 | 发布日期 | 关键变化（以官方发布说明为准） |
|---|---|---|
| v15 | 2024年4月 | 常规半年迭代，持续扩充云、身份与网络设备相关内容 |
| v16 | 2024年10月31日 | 据MITRE官方路线图披露：新增19项技术/子技术、6个新组织、6个新战役、34项Analytics（分析检测逻辑）对象 |
| v17 | 2025年4月22日 | 三大变化：①Enterprise域新增ESXi平台，描述VMware ESXi虚拟化环境中的对手行为；②系统性重写Enterprise缓解措施（Mitigations）描述；③"Network"平台更名为"Network Devices"以更清晰界定网络设备范围。对象级调整示例：撤销T1574.002（DLL Side-Loading）并入T1574.001（由DLL Search Order Hijacking更名而来的Hijack Execution Flow: DLL）；T1176由Browser Extensions更名为Software Extensions并新增Browser Extensions、IDE Extensions两个子技术 |
| v18 | 2025年10月28日 | 防御内容重大更新：新增Detection Strategies（检测策略，定义检测某技术的高层方法）与Analytics（平台级检测分析逻辑）两类对象；Enterprise新增现代基础设施、CI/CD流水线、Kubernetes、云数据库相关技术，以及勒索软件预备行为、攻击者监控威胁情报来源等条目（据官方版本历史及公开报道） |
| v19 | 2026年4月28日 | 当前版本（经v19.1补丁、v19.2说明）：①Enterprise"Defense Evasion"拆分为Stealth（TA0005，继承原ID）与Defense Impairment（TA0112，新ID）；②ICS首次引入子技术（18项，此前为0）；③T1562 Impair Defenses撤销，重构为T1685/T1686/T1687；④新增AI滥用相关技术（Social Engineering、Generate Content、Query Public AI Services）；⑤Mobile起步Detection Strategies。Enterprise达15战术/222技术/475子技术/174组织/821软件/56战役，全矩阵949软件/178组织/59战役 |
注：v16数据来自MITRE ATT&CK官方路线图（CTID在2025年3月亚太社区工作坊发布材料）；v18要点来自官方版本历史及SecurityWeek等公开报道。各版本明细以attack.mitre.org/resources/updates/为准；v19（2026年4月）官方发布说明：attack.mitre.org/resources/updates/updates-april-2026（终审核验来源，S级权威）。
版本漂移提示：ATT&CK的对象会随版本新增、改名、合并、撤销（revoke）、弃用（deprecate），技术编号相对稳定但条目内容持续修订。工程实践中必须固定引用版本号、跟踪官方changelog（同时提供人类可读版与机器可读JSON版），并在知识库中保留对象版本历史，否则跨期覆盖度对比将失去意义。v17即给出了机器可读changelog格式的规范化实践。
3.4 v19版本演进与当前基线（2026年4月28日发布，当前版本）
v19是终审报批时点（2026年9月）的当前版本（经v19.1补丁、v19.2说明发布）。全部统计与映射引用应区分"历史基线（v17）"与"当前版本（v19）"，版本固定策略须同时覆盖大版本与小版本补丁。
（1）v19官方统计（截至v19，含v19.1）
| 对象 | Enterprise | Mobile | ICS | 全矩阵合计 |
|---|---|---|---|---|
| 战术 | 15（原Defense Evasion拆分） | 12（保留） | 12（保留） | — |
| 技术 | 222 | 77 | 79 | — |
| 子技术 | 475 | 47 | 18（ICS首次引入） | — |
| 组织 | 174 | 20 | 14 | 178 |
| 软件 | 821 | 126 | 23 | 949 |
| 战役 | 56 | 3 | 8 | 59 |
| 缓解措施 | 44 | 13 | 52 | — |
| Detection Strategies | 697 | 124（起步） | 97 | — |
| Analytics | 1758 | 211 | 96 | — |
| Data Components | 106 | 29 | 36 | — |
| Assets（ICS特有） | — | — | 18 | — |
数据来源：MITRE ATT&CK v19官方发布说明（2026-04-28，含v19.1补丁、v19.2说明）。引用时须注明版本号。
（2）最大结构性变化：Defense Evasion战术拆分
v19将Enterprise沿用十余年的Defense Evasion拆分为两个新战术（官方阐述的拆分理由：原战术过于庞大，且"躲藏"与"破坏防御"是两种不同威胁模型）：
| v18及以前 | v19 | 对手意图 | 典型行为 |
|---|---|---|---|
| Defense Evasion（TA0005） | Stealth（TA0005，继承原ID） | 混入合法行为以规避检测，防御系统仍在运行但被欺骗 | 隐藏构件、混淆、伪装（Masquerading） |
| Defense Evasion（TA0005） | Defense Impairment（TA0112，新ID） | 主动削弱/破坏防御能力 | 禁用EDR、篡改防火墙、破坏日志管道 |
三点工程影响必须纳入本课题：①约94%的原Defense Evasion技术/子技术被重新分配至两个新战术，少数改挂Lateral Movement/Privilege Escalation/Execution；②Mobile与ICS矩阵暂不适用本次拆分，仍保留Defense Evasion——跨矩阵映射时战术列不可混用；③按战术列统计的覆盖度画像（第3页图）在v19下必须重基线（re-baseline），否则"Defense Evasion一列"将查无此列。
（3）T1562 Impair Defenses撤销与重构映射表
| 旧编号（≤v18） | v19新编号 | 名称 |
|---|---|---|
| T1562 / T1562.001 | T1685 | Disable or Modify Tools（含原Disable or Modify Tools行为） |
| T1562.008 | T1685.002 | Disable or Modify Cloud Log（挂于T1685下） |
| T1562.007 | T1686.001 | Cloud Firewall（挂于新T1686 Disable or Modify System Firewall下） |
| T1687 | Exploitation for Defense Impairment（利用安全组件自身漏洞削弱防御） |
迁移纪律：引用旧编号的既有规则与知识库必须按上表迁移，禁止静默改名——这正是第2页版本漂移机制与第6页CI质量门的活案例（T1562→T1685/T1686/T1687）。
（4）新增AI滥用相关技术
v19新增面向AI时代对手行为的技术条目，包括但不限于：Social Engineering（社工泛化条目）、Generate Content（AI生成内容/深度伪造素材）、Query Public AI Services（查询公共AI服务辅助攻击）。与本学院反钓鱼业务直接相关——深度伪造语音/视频钓鱼在v19中首次获得行为层标注锚点。具体子技术划分以v19矩阵页面为准，本课题不臆造编号。
（5）小版本跟踪机制
两次大版本之间官方会发布内容补丁（已知：v17.1、v18.1、v19.1、v19.2）。版本固定格式建议为"大版本.小版本"，机器可读changelog在相邻版本间均提供diff，CI质量门与图层同步须覆盖小版本号。
04 · 本子课题的四页研究框架
本课题按"认知框架 → 数据基础 → 度量评估 → 行动闭环"的逻辑组织为四页，各页之间通过统一的技术编号体系衔接：
与威胁情报生命周期的对应关系：第2页对应处理与标准化阶段（TTP结构化入库），第3页对应分析阶段（覆盖度评估与狩猎），第4页对应发布与消费阶段（检测工程落地与归因支撑）。
05 · 核心研究内容总览
| 编号 | 研究内容 | 要点 | 展开位置 |
|---|---|---|---|
| A1 | ATT&CK对象模型深度解析 | 战术/技术/子技术/过程四层模型、技术条目属性、平台与数据源体系、版本演进机制 | 第1—2页 |
| A2 | TTP提取与结构化入库 | 多源TTP提取方法论、STIX 2.1数据获取与对象映射、映射裁决规范、工具链（TRAM/Decider/Workbench/attackcti） | 第2页 |
| A3 | 检测覆盖度评估 | Navigator图层评分模型、遥测可见性与检测覆盖分离度量、差距分析与优先级排序 | 第3页 |
| A4 | 威胁狩猎与检测工程 | 狩猎假设生成模板、数据源对齐校验、Atomic Red Team/CALDERA原子化验证、评估生态参照 | 第3页 |
| A5 | 归因分析与工程落地 | 组织TTP画像、归因置信度表达、钓鱼场景映射示例、实施路线图与运营机制 | 第4页 |
5.1 关键技术与方法（总览）
- 数据获取：基于MITRE官方GitHub仓库（mitre/cti）发布的STIX 2.1 JSON数据包与TAXII 2.1服务，实现技术条目的自动化查询与批量映射。
- 映射工具链：使用attackcti等Python库封装数据访问，以TRAM/NLP辅助初筛、Decider引导式裁决、Workbench人工维护的组合控制映射质量。
- 覆盖评估：基于Navigator图层文件（Layer JSON）对检测能力进行0—100分制可视化评分与差距分析，区分"遥测可见""规则覆盖""实测验证"三个层次。
- 验证闭环：将CTI映射经狩猎假设转化为查询与分析任务，用Atomic Red Team原子测试与CALDERA对抗模拟实测验证后固化检测规则。
06 · 常见认知误区与术语辨析
ATT&CK在传播过程中常被误读，以下辨析直接决定研究设计的严谨性：
| 误区/混淆 | 辨析 |
|---|---|
| "ATT&CK是攻击流程图" | 错误。矩阵列（战术）≠严格时序。真实攻击会跳过战术、回退、并行；矩阵是知识索引而非路径预测器。分析时应以Procedure实例还原具体攻击的时序。 |
| "ATT&CK是合规/认证标准" | 错误。ATT&CK是知识库与通用语言，不规定控制基线。合规映射（如NIST SP 800-53、CIS Controls与ATT&CK的对照）是社区衍生工作，不等于ATT&CK本身。 |
| "技术编号绑定单一战术" | 错误。技术经kill chain phase可挂接多个战术（如T1059横跨Execution与Defense Evasion）；子技术继承父技术的战术归属。 |
| "TTP=恶意软件行为" | 错误。TTP包括对手使用合法工具与原生功能（LOLBins/LOT工具，如certutil、PowerShell、RMM软件）的行为——这也是其检测价值所在。 |
| "收录即常见" | 错误。收录门槛是"有公开报告支撑"而非"发生频率高"；稀有但证据充分的行为同样收录。消费时应区分"知识库收录"与"本环境风险"。 |
| "覆盖度100%=安全" | 错误。矩阵外存在未披露行为（观察偏差），且覆盖≠有效（未实测的规则可能不触发）。详见第3页三层度量模型与第4页局限性分析。 |
6.1 核心术语速查
| 术语 | 释义 |
|---|---|
| TTP | Tactics, Techniques & Procedures：战术（目的层）、技术（方法层）、过程（实例层）的行为描述体系 |
| IOC | Indicators of Compromise：失陷指标（哈希、IP、域名等），痛苦金字塔底层 |
| Procedure | 过程：某组织/软件在真实事件中对某技术的具体实现，映射工作的原始素材 |
| STIX / TAXII | OASIS结构化威胁信息表达标准（2.1版，JSON图模型）/其传输协议，ATT&CK官方数据分发格式 |
| Navigator / Layer | ATT&CK官方矩阵可视化工具 / 其图层JSON文件，覆盖度评估的载体 |
07 · 研究边界与合规声明
合规与伦理声明：①本课题全部技术路线以防御为目的，严格遵守《网络安全法》《数据安全法》《个人信息保护法》等法律法规；②课题涉及的对抗模拟仅在有明确授权的内部实验环境与演练沙盘内开展，严禁针对任何未授权目标；③对APT组织的画像与归因仅基于公开威胁报告与MITRE ATT&CK公开数据，所有引用均标注出处；④引用ATT&CK内容遵循MITRE官网公布的使用条款（含署名要求），ATT&CK为MITRE的注册商标；⑤文中涉及的攻击手法仅用于理解威胁与构建防御，不对外提供可直接复用的攻击实现；⑥面向国内关键信息基础设施场景的ICS映射内容，交付时须提示《关键信息基础设施安全保护条例》（2021年施行）与等保2.0等国内合规锚点——ATT&CK映射不构成合规依据，合规结论以国内正式测评体系为准。
知识产权边界：ATT&CK知识库由The MITRE Corporation维护，各版本发布说明均注明"This work is reproduced and distributed with the permission of The MITRE Corporation"。本课题在研究与教学材料中引用ATT&CK条目时保留其出处标注，不对ATT&CK内容本身主张任何权利。工具链部分（Navigator、Workbench、Decider、TRAM、CALDERA等）均为开源项目，使用时应遵守各自许可证（多为Apache-2.0等宽松许可证，具体以各项目仓库为准）。
08 · 预期成果与交付物
- 《ATT&CK映射方法论与最佳实践》研究报告一份（含映射裁决规范、置信度分级与术语辨析）
- 覆盖ATT&CK Enterprise矩阵的TTP知识库（含置信度、出处与版本跟踪标注）
- 企业检测覆盖度评估模板与Navigator图层样例（三层度量模型配套）
- 狩猎假设生成模板及钓鱼场景ATT&CK映射对照表
- 常见认知误区与术语辨析速查表（培训配套）
本节参考来源（第1页）
以下均为真实可查的权威来源（MITRE官方页面/开源仓库、标准组织、学术文献），用于支撑本页事实性表述。
MITRE ATT&CK官方站点：attack.mitre.org（知识库主体，含三大矩阵）
MITRE ATT&CK v17版本发布说明（2025年4月22日，含各矩阵对象数量统计与对象级changelog）：attack.mitre.org/resources/updates/updates-april-2025
MITRE ATT&CK版本历史总览：attack.mitre.org/resources/updates（v17版本区间2025-04-22至2025-10-27，v18于2025年10月27日接续）
David Bianco, "The Pyramid of Pain"（2013）：detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
Eric M. Hutchins, Michael J. Cloppert, Rohan M. Amin, "Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains"（2011，Kill Chain模型出处）：Lockheed Martin白皮书
MITRE Engenuity ATT&CK Evaluations官方站点：attackevals.mitre.org
MITRE Center for Threat-Informed Defense：ctid.mitre.org（含ATT&CK路线图等发布材料）
MITRE ATT&CK官方GitHub数据仓库（STIX 2.1 JSON）：github.com/mitre/cti
Sergio Caltagirone, Andrew Pendergast, Christopher Betz, "The Diamond Model of Intrusion Analysis"（2013）：activeresponse.org diamond.pdf
MITRE ATT&CK v19官方发布说明（2026-04-28，含v19.1/v19.2；Defense Evasion拆分、T1562重构、ICS子技术、AI滥用技术的权威出处，经终审核验链接可达）：attack.mitre.org/resources/updates/updates-april-2026
ReversingLabs, "MITRE ATT&CK v18: What's in it — and why it matters"（2025-11-11，v18检测模型变革的第三方技术解析，经终审核验链接可达）：reversinglabs.com博客