MITRE ATT&CKvsTTP

MITRE ATT&CK

MITRE ATT&CK 是全球最权威的攻击技术知识库，将攻击者的行为系统化为战术（Tactics）和技术（Techniques）矩阵。安全团队用它来评估防御覆盖度、编写检测规则和模拟攻击。

TTP

TTP 是威胁情报的核心概念：Tactics（战术，攻击目标）、Techniques（技术，实现方式）、Procedures（程序，具体步骤）。TTP 比 IOC 更持久，因为攻击者可以换 IP 但很难换手法。

MITRE ATT&CK

• 14 个战术阶段覆盖攻击全生命周期
• 已成为安全行业的通用语言
• 用于评估防御覆盖度和差距分析

TTP

• 战术-技术-程序三层行为描述
• 比 IOC 更持久的检测维度
• MITRE ATT&CK 是 TTP 的标准化框架

MITRE ATT&CK

系统化描述网络攻击者战术、技术和程序的知识库框架

TTP

描述攻击者战术目标、技术手段和具体操作程序的行为框架

MITRE ATT&CK

• 安全防御覆盖度评估
• 检测规则的开发和映射
• 红队演练的攻击路径规划

TTP

• 威胁情报的结构化描述
• 基于行为的威胁检测
• 攻击组织的画像和归因

MITRE ATT&CK

MITRE ATT&CK 由 MITRE 公司维护，将真实世界的攻击行为分类为 14 个战术阶段（从初始访问到数据窃取）和数百个具体技术。它已成为安全行业的通用语言：红队用它规划攻击路径，蓝队用它评估检测覆盖度，安全厂商用它标注产品能力。ATT&CK 的价值在于将模糊的「威胁」转化为具体的、可检测的行为指标，让安全防御从「猜测」变为「系统化」。

TTP

TTP 是 David Bianco 的「痛苦金字塔」中最顶层的指标：IOC（IP/哈希）容易更换，TTP（行为模式）很难改变。MITRE ATT&CK 框架将 TTP 标准化为 14 个战术和数百个技术。基于 TTP 的检测（行为检测）比基于 IOC 的检测更有效，因为它关注攻击者「做什么」而非「用什么工具」。