MITRE ATT&CKvsThreat Hunting

MITRE ATT&CK

MITRE ATT&CK 是全球最权威的攻击技术知识库，将攻击者的行为系统化为战术（Tactics）和技术（Techniques）矩阵。安全团队用它来评估防御覆盖度、编写检测规则和模拟攻击。

Threat Hunting

Threat Hunting 是安全团队主动出击寻找潜伏在网络中的威胁，而不是被动等待 SIEM 告警。假设攻击者已经在你的网络中——然后去证明或证伪这个假设。

MITRE ATT&CK

• 14 个战术阶段覆盖攻击全生命周期
• 已成为安全行业的通用语言
• 用于评估防御覆盖度和差距分析

Threat Hunting

• 核心理念：假设已被入侵，主动寻找证据
• 需要高级分析师的经验和直觉
• 数据驱动：日志、流量、终端遥测是狩猎的弹药

MITRE ATT&CK

系统化描述网络攻击者战术、技术和程序的知识库框架

Threat Hunting

安全团队基于假设驱动主动搜索网络中未被检测到的潜伏威胁的实践

MITRE ATT&CK

• 安全防御覆盖度评估
• 检测规则的开发和映射
• 红队演练的攻击路径规划

Threat Hunting

• 发现绕过自动化检测的高级威胁
• 验证和提升现有检测规则的有效性
• APT 攻击的早期发现

MITRE ATT&CK

MITRE ATT&CK 由 MITRE 公司维护，将真实世界的攻击行为分类为 14 个战术阶段（从初始访问到数据窃取）和数百个具体技术。它已成为安全行业的通用语言：红队用它规划攻击路径，蓝队用它评估检测覆盖度，安全厂商用它标注产品能力。ATT&CK 的价值在于将模糊的「威胁」转化为具体的、可检测的行为指标，让安全防御从「猜测」变为「系统化」。

Threat Hunting

Threat Hunting 是安全运营的高级实践，由经验丰富的分析师基于假设驱动的方法主动搜索网络中的异常活动。与被动的告警响应不同，Threat Hunting 假设攻击者已经绕过了现有防御，通过分析日志、网络流量和终端数据来发现潜伏的威胁。常用方法包括：基于 IOC 的搜索、基于 TTP 的行为分析、以及基于异常的统计分析。Threat Hunting 的发现会反馈到检测规则中，持续提升防御能力。