4、情报分析框架：钻石模型、Kill Chain（杀伤链）、MITRE ATT&CK框架
做威胁情报狩猎，光有数据不行。你得有个“架子”，把零散的信息挂上去。
我个人习惯，把情报分析框架比作“侦探工具箱”。钻石模型是看“关系”，杀伤链是看“过程”，ATT&CK是看“手法”。三个工具配合着用，才能把攻击者的底裤都扒干净。
4.1 钻石模型：看透攻击的“四角关系”
钻石模型，说白了就是四个顶点：攻击者、受害者、基础设施、能力。任何一次攻击，都离不开这四样东西。
核心逻辑： 攻击者利用“能力”（比如恶意软件），通过“基础设施”（比如C2服务器），去攻击“受害者”。
我在项目中遇到过很多次，分析师只盯着恶意样本看，忽略了基础设施。结果样本分析完了，攻击者早换IP了。钻石模型逼着你把四个点连起来看。
举个例子：
- 攻击者： APT29（假设）
- 能力： 鱼叉邮件 + PowerSploit
- 基础设施： evil.com (IP: 1.2.3.4)
- 受害者： 某军工企业邮箱服务器
你发现一个样本，别急着分析。先问自己：另外三个角是什么？如果只找到两个角，那情报就是不完整的。
我的小技巧： 画图。用一张白纸，画个菱形，四个角填上已知信息。空着的角，就是你要去挖的方向。
4.2 杀伤链（Kill Chain）：还原攻击的“七步走”
杀伤链是洛克希德·马丁公司提出的。它把一次攻击拆成七个阶段。你想想看，就像打游戏通关，每一步都有特定的动作。
这七个阶段是：
- 侦察（Reconnaissance）： 攻击者踩点。比如扫描端口、搜LinkedIn员工信息。
- 武器化（Weaponization）： 制作攻击载荷。比如把恶意代码绑到PDF上。
- 投递（Delivery）： 发送武器。比如发邮件、放U盘。
- 利用（Exploitation）： 触发漏洞。比如用户打开PDF，代码执行。
- 安装（Installation）： 植入后门。比如写注册表、加计划任务。
- 指挥与控制（C2）： 建立通道。比如连上evil.com的443端口。
- 目标达成（Actions on Objectives）： 偷数据、加密勒索、搞破坏。
为什么要记这个？因为检测越靠前，防御效果越好。你如果在“侦察”阶段就发现扫描行为，直接封IP，后面六步就省了。
我曾经踩过的坑： 太执着于“利用”阶段的检测。结果攻击者换了0day，我这边就瞎了。后来我学乖了，在“投递”阶段（比如邮件网关）和“C2”阶段（比如DNS日志）多下功夫，效果反而更好。
杀伤链有个缺点：它假设攻击是线性的。现实中，攻击者可能跳过某一步，或者循环往复。所以，别死板套用。
4.3 MITRE ATT&CK：攻击者的“百科全书”
ATT&CK框架，是目前最流行的。它不关心攻击的“顺序”，而是关心攻击者具体干了什么。
它把攻击行为分成：
- 战术（Tactics）： 为什么做？比如“持久化”、“防御绕过”。
- 技术（Techniques）： 怎么做？比如T1059（命令行执行）、T1078（有效账户）。
- 子技术（Sub-techniques）： 更细的手法。比如T1059.001（PowerShell）。
我个人觉得，ATT&CK最大的价值是统一语言。以前分析师说“他用脚本跑了一下”，现在说“T1059.001”。大家一听就懂。
怎么用？ 我建议三步走：
- 映射： 把你发现的IoC（IP、域名、Hash）映射到ATT&CK技术。比如发现一个注册表自启动项，那就是T1547.001。
- 分组： 把多个技术组合起来，看属于哪个战术。比如T1547 + T1059 + T1078，很可能是在做“持久化”。
- 关联： 对比已知的APT组织。比如你发现的技术组合，跟APT29的常用手法很像，那就可以提高警惕。
- 拿到一个告警，先用杀伤链定位：这是第几步？
- 然后用ATT&CK查：具体是什么技术？
- 最后用钻石模型扩线：还有没有关联的IP、样本、人员？
实战案例： 有一次我分析一个勒索软件。它做了三件事：1）用WMI执行命令（T1047）；2）删除卷影副本（T1490）；3）修改桌面壁纸（T1491）。我查了ATT&CK，发现这跟某个已知勒索家族的行为完全吻合。直接确认了攻击团伙，省了三天逆向时间。
4.4 三个框架怎么配合？
你可能会问：三个框架，到底用哪个？
我的答案是：全用。它们不是替代关系，是互补关系。
| 框架 | 核心问题 | 最佳使用场景 |
|---|---|---|
| 钻石模型 | 谁？用什么？打谁？ | 情报关联、溯源分析 |
| 杀伤链 | 攻击到哪一步了？ | 应急响应、防御部署 |
| ATT&CK | 具体用了什么手法？ | 检测规则编写、红蓝对抗 |
我个人的工作流：
避坑指南： 别试图把每个告警都完美映射到三个框架。那是浪费时间。对于高优先级告警，走完三遍。对于低优先级告警，用ATT&CK快速打个标签就够了。
嗯，这三个框架，说白了就是帮你把“混乱”变成“有序”。刚开始用会有点别扭，但用顺手了，你会发现——原来攻击者的每一步，都在框架里写着呢。