MITRE ATT&CKvsSigma Rules

MITRE ATT&CK

MITRE ATT&CK 是全球最权威的攻击技术知识库，将攻击者的行为系统化为战术（Tactics）和技术（Techniques）矩阵。安全团队用它来评估防御覆盖度、编写检测规则和模拟攻击。

Sigma Rules

Sigma 是安全检测规则的标准化格式，用 YAML 描述检测逻辑，可以转换为 Splunk、Elastic、Microsoft Sentinel 等任何 SIEM 平台的查询语句。

MITRE ATT&CK

• 14 个战术阶段覆盖攻击全生命周期
• 已成为安全行业的通用语言
• 用于评估防御覆盖度和差距分析

Sigma Rules

• 安全检测规则的通用格式
• YAML 描述，可转换为任何 SIEM 查询
• 社区维护数千条检测规则

MITRE ATT&CK

系统化描述网络攻击者战术、技术和程序的知识库框架

Sigma Rules

安全检测规则的通用描述格式，可转换为各 SIEM 平台查询

MITRE ATT&CK

• 安全防御覆盖度评估
• 检测规则的开发和映射
• 红队演练的攻击路径规划

Sigma Rules

• 跨 SIEM 平台的检测规则共享
• 威胁检测能力的标准化建设
• MITRE ATT&CK 覆盖率的提升

MITRE ATT&CK

MITRE ATT&CK 由 MITRE 公司维护，将真实世界的攻击行为分类为 14 个战术阶段（从初始访问到数据窃取）和数百个具体技术。它已成为安全行业的通用语言：红队用它规划攻击路径，蓝队用它评估检测覆盖度，安全厂商用它标注产品能力。ATT&CK 的价值在于将模糊的「威胁」转化为具体的、可检测的行为指标，让安全防御从「猜测」变为「系统化」。

Sigma Rules

Sigma 解决了安全检测规则的碎片化问题：同一个检测逻辑在 Splunk 用 SPL、在 Elastic 用 KQL、在 Sentinel 用 KQL。Sigma 用统一的 YAML 格式描述，通过转换器生成各平台的查询。SigmaHQ 仓库包含 3000+ 条社区规则，覆盖 MITRE ATT&CK 的大部分技术。