ATT&CK导向狩猎与SIGMA检测资产

01 · 战术优先级与覆盖度定位

ATT&CK Enterprise矩阵自2026年4月v19起覆盖15个战术（Tactic）——原"防御规避（Defense Evasion）"拆分为隐匿（Stealth，TA0005）与防御削弱（Defense Impairment，TA0112），这一变化本身就是重要的狩猎知识："躲起来"与"拆掉你的防御"是两种需要不同检测策略的对手行为。狩猎资源永远有限，应按"业务相关性 × 当前覆盖缺口 × 攻击者使用频率"三维打分确定优先级。基于M-Trends 2026等报告的攻击者行为观察（滥用原生功能与合法工具、凭证攻击前置、快速横向扩散），本课题建议如下优先级框架（定性判断，组织应按自身行业校准）：

版本说明：v19（2026年4月28日发布）之前，Stealth与Defense Impairment同属Defense Evasion（TA0005）；原技术T1562（Impair Defenses）在v19中已被撤销并重组至Defense Impairment战术下的新编号条目。组织若沿用v18及更早版本的矩阵做覆盖度统计，需先完成战术映射迁移，否则覆盖数据将失真。具体技术编号映射以attack.mitre.org当期版本为准。

1.1 扩展战术的狩猎要点

资源充裕后，狩猎范围应向矩阵其余战术均衡扩展。以下要点按战术给出（战术编号为ATT&CK Enterprise矩阵官方编号）：

02 · 重点战术狩猎剧本

剧本（Playbook）是假设的成品形态：把高频狩猎场景固化为"假设—查询—判定—固化"四联卡，供HM2级团队直接执行、HM3级团队改造创新。

剧本A：RDP/SMB横向移动（T1021.001 / T1021.002）

• 假设：攻击者已持有单台主机控制权，正通过远程交互协议向其他主机扩散。
• 查询线索：工作站→工作站的Type 10/Type 3登录；登录源与目标均非登记的运维跳板；非常规时段（如非工作时间的交互式登录）。
• 判定要点：结合登录账户的属主部门与目标主机的资产角色；开发测试网段单独评估。

剧本B：凭证转储与滥用（T1003系列）

• 假设：攻击者正通过访问LSASS进程内存（T1003.001）或DCSync等方式窃取凭据。
• 查询线索：非白名单进程对lsass.exe的打开句柄（Sysmon进程访问事件10）；非域控主机发起目录复制行为；异常TGS票据请求密度（Kerberoasting，T1558.003：单账户短时大量请求RC4加密服务票据）。
• 判定要点：EDR/杀软进程访问LSASS属正常行为，必须以"排除清单+异常调用者"双条件收敛。

剧本C：加密C2与渗出（T1071 / T1573 / T1048）

• 假设：存在使用HTTPS/DNS等合法协议与外部C2通信、或以非标准端口/协议外渗数据的失陷主机。
• 查询线索：固定间隔心跳式连接（时序周期分析）；解析罕见或新生域名（域名年龄结合被动DNS）；上行字节量异常大于下行的长连接。
• 判定要点：先排除软件更新、云同步等高频合法周期连接；对命中做样本化人工研判而非批量封禁。

注：剧本中的技术编号与行为描述可在MITRE ATT&CK官方站点逐项核验（attack.mitre.org），各组织的具体查询实现见第2页§06对照示例；v19编号迁移影响仅涉及战术层（TA级）与技术T1562一族，上述T1021/T1003/T1071/T1573/T1048等编号不受v19拆分影响。

03 · SIGMA规则规范：平台无关的检测描述语言

SIGMA由Florian Roth等人于2016年发起，目标是"为SIEM系统提供通用的签名格式"——如同"检测界的Snort规则/YARA"：规则用YAML以平台无关的方式描述检测逻辑，再由转换器编译为各SIEM/EDR平台的原生查询。其生态事实已成为社区检测内容交换的通用载体。

3.1 关联规则与转换工具链

转换后端覆盖：sigma-cli（基于pySigma）采用插件化后端架构，支持向多种后端输出查询，包括Splunk SPL、Microsoft Sentinel KQL、Microsoft 365 Defender KQL、Elasticsearch/OpenSearch（DSL或EQL）、QRadar AQL、ArcSight等；具体后端列表以当期版本命令行帮助（sigma list targets）为准。这意味着同一条Sigma规则经转换后可同时服务于异构SIEM环境，是混合平台组织实现"一次编写、多平台部署"的合规路径。

关联规则（Correlation Rules）：新一代Sigma规范引入了关联规则能力，支持temporal（时间窗共现）、ordered_temporal（有序时间窗）、event_count（事件计数）与value_count（取值计数）等关联类型，可将多条单事件规则组合为序列型检测——例如"同一账户在10分钟内MFA拒绝≥3次后出现1次批准"（对应第6页案例C的剧本）。需要说明的是：关联检测要求目标后端具备聚合或子查询能力，且计算开销高于单事件规则，应先评估平台承载力再规模化部署。

04 · SIGMA规则示例解析

示例：检测可疑的rundll32无控制面板上下文执行（教学示例，检测逻辑参考SigmaHQ社区规则的通用模式改写）：

title: Suspicious Rundll32 Execution Without CPL Context   # 规则标题
id: 0a1b2c3d-0000-4000-8000-0000000000ab                       # 全局唯一ID（示例占位）
status: experimental                                          # 试验状态
description: Detects rundll32.exe executions with uncommon command lines
references:
    - https://attack.mitre.org/techniques/T1218/011/
author: DiMiao Hunting Lab (teaching example)
date: 2026/09/01
tags:
    - attack.defense_evasion
    - attack.t1218.011
logsource:
    category: process_creation
    product: windows
detection:
    selection_img:
        Image|endswith: '\rundll32.exe'
    selection_cli:
        CommandLine|contains:
            - 'javascript:'
            - 'vbscript:'
            - '.hta'
    filter_known:
        ParentImage|endswith:
            - '\svchost.exe'    # 排除已登记的合法调用方（按环境增补）
    condition: selection_img and selection_cli and not filter_known
falsepositives:
    - 个别企业管理软件以脚本协议调用rundll32（加入过滤清单后可消除）
level: high

解析：该规则演示了SIGMA的三个关键设计——选择集分层（镜像条件+命令行条件+过滤条件）、条件表达式（and/not组合）、误报声明（falsepositives字段要求规则作者显式说明噪声来源）。规则通过sigma-cli转换后，即可生成Splunk SPL、Microsoft Sentinel KQL或Elastic查询并进入SIEM部署流程。

注：本示例为本课题教学改写（UUID为占位符），用于讲解规范结构；生产使用应以SigmaHQ官方仓库经评审的规则为基线并自行测试，勿直接照搬示例。

示例二：可疑进程访问LSASS内存（教学骨架，检测逻辑参考SigmaHQ社区process_access类目规则改写）：

title: Suspicious Process Access to LSASS Memory      # 教学骨架，勿直接上线
id: 2b3c4d5e-0000-4000-8000-0000000000cd              # 示例占位UUID
status: experimental
description: Detects non-system processes opening a handle to lsass.exe
references:
    - https://attack.mitre.org/techniques/T1003/001/
author: DiMiao Hunting Lab (teaching example)
date: 2026/09/01
tags:
    - attack.credential_access
    - attack.t1003.001
logsource:
    category: process_access                          # 对应Sysmon进程访问事件(ID 10)
    product: windows
detection:
    selection:
        TargetImage|endswith: '\lsass.exe'
        GrantedAccess|in: ['0x1010', '0x1038', '0x1fffff', '0x40']   # 内存读取/全权限类掩码
    filter_known:
        SourceImage|endswith:                          # 按本环境白名单增补：
            - '\MsMpEng.exe'                           # 杀毒引擎访问属正常
            - '\svchost.exe'                           # 仅示例——生产环境须加参数/父进程约束
    condition: selection and not filter_known
falsepositives:
    - EDR/杀软/备份软件的合法内存访问（逐一评估后加入过滤）
    - 运维工具（如部分凭据管理代理）——加入过滤前须验证其调用模式
level: high

解析：本示例演示三点——数据源定位（process_access类目对应Sysmon事件ID 10，与§03的process_creation类目区分）、字段语义（GrantedAccess掩码是凭证访问狩猎的核心证据）、过滤纪律（杀软过滤必须附带额外约束，裸过滤SourceImage等于svchost是常见缺陷，可能同时屏蔽真实攻击）。生产基线请以SigmaHQ官方仓库经评审的LSASS相关规则为起点，并在本环境完成三道关验证。

05 · 规则测试与部署

狩猎转化的规则必须过"三道关"才能进入生产：语法关（转换器无告警解析）、回放关（在历史数据/测试数据集回放，确认命中与预期一致且无语法级爆炸误报）、灰度关（以"仅记录不告警"模式运行一至两周，量化真实基线噪音后再决定告警阈值与分诊级别）。

• 转换工具链：pySigma（解析库）+ sigma-cli（命令行工具， sigma convert 输出目标平台查询）；早期sigmac工具已被社区标记弃用，新项目不应再采用。
• 规则即代码：规则库纳入Git版本管理，改动走评审；转换测试纳入CI流水线，规则合并前自动完成多后端转换验证。
• 生命周期管理：规则上线后按命中率、误报率、处置价值定期复核；随数据源变更（如日志字段调整）同步修订，弃用规则保留归档可溯源。

06 · 检测覆盖度评估

ATT&CK Navigator（MITRE官方提供的矩阵可视化工具）是覆盖度评估的事实标准：将本组织已覆盖的技术着色标注，缺口即下一个狩猎主题。覆盖度运营的两条纪律：

• 覆盖≠有效：矩阵上的颜色只代表"存在对应检测逻辑"，不代表检测质量。每条覆盖须关联其近12个月的实际触发记录，从未触发的规则要么环境不适用、要么逻辑失效，均需复核。
• 覆盖分层：对矩阵技术标注数据源层（已采集数据）、检测层（已有规则）、狩猎层（已执行过狩猎）三级状态，避免把"数据在手"误认为"威胁可见"。

6.1 覆盖度量化的四个分指标

"覆盖度"应拆分为可计算的四个分指标，在ATT&CK Navigator上分层着色呈现：

注：ATT&CK自v10版本起引入Data Components（数据组件）概念，每项技术页面均列出所需数据组件；核查口径以attack.mitre.org当期版本为准；v19（2026年4月）起战术层结构变化，Navigator图层与规则tags需同步迁移。

07 · 狩猎成果固化流程

将前述环节串成流水线：每一次狩猎的终点都是检测资产的起点。这是Sqrrl循环第4阶段的工程化展开：

本节参考来源（第3页）

以下均为真实可查的权威来源，用于支撑本页事实性表述；全部链接经2026年9月终审核验可访问。