2. 企业威胁环境与对手模型

威胁检测工程的第一项基础工作，不是部署传感器，而是把“谁在攻击、怎么攻击、攻击哪里”这三件事说清楚。企业面对的不是一个抽象的“黑客”，而是动机、资源、技术水平和行为约束各不相同的多类行为体；它们沿着可预测的阶段性路径推进，并在具体资产与暴露面上留下可观测的痕迹。本节围绕威胁行为体、攻击生命周期、MITRE ATT&CK 框架和企业资产与攻击面分析四条线索展开，目标是让后续的检测规则、日志源选择与告警优先级都有明确的对手模型作为依据。

一、常见威胁行为体：先分清对手，再谈检测优先级

企业威胁环境中的行为体通常按“动机—资源—隐蔽性—目标”四个维度区分。第一类是机会主义犯罪团伙，动机是直接变现，资源中等，偏好勒索软件、商业邮件诈骗（BEC）和凭证窃取，隐蔽性一般，往往在获得访问后数小时至数天内就触发加密或转账行为。第二类是APT 与国家背景组织，动机是情报收集、长期驻留或供应链渗透，资源充足，隐蔽性强，会使用自研工具、合法工具滥用（LOLBins）和低慢速外联，驻留时间常以月甚至年计。第三类是内部威胁，包括恶意内部人员和疏忽型内部人员，前者利用合法权限，后者因误配置或钓鱼导致边界失效，二者在日志上都表现为“合法账号的异常行为”。第四类是黑客活动分子，动机是表达诉求，偏好 DDoS、网页篡改和数据公开，行为突发性强、持续时间短。

区分行为体的直接价值在于检测策略的差异化。对勒索团伙，应重点监控批量文件重命名、卷影副本删除、异常加密进程和横向 SMB 流量；对 APT，应重点监控凭证转储、计划任务持久化、DNS 隧道和异常时间窗的登录；对内部威胁，应重点监控权限提升、大批量数据下载和离职前异常访问。若把四类对手用同一套阈值和同一优先级处理，结果要么对 APT 过度告警，要么对勒索响应过慢。

二、攻击生命周期：把对手行为映射为可观测阶段

攻击生命周期描述对手从准备到达成目标的推进过程。经典 Cyber Kill Chain 将其划分为侦察、武器化、投递、利用、安装、命令与控制、目标行动七个阶段；更贴近实战的表述可归纳为：初始访问 → 执行与驻留 → 权限提升 → 防御规避 → 凭证访问 → 发现与横向移动 → 收集与渗出 → 影响。检测工程关心的不是阶段名称本身，而是每个阶段对应的数据源与可观测信号。

以一次典型的钓鱼投递为例：初始访问阶段的可观测信号是邮件网关日志中的恶意附件哈希、发件域信誉和收件人点击行为；执行阶段对应进程创建日志中 Office 进程派生 powershell.exe 或 mshta.exe；驻留阶段对应注册表 Run 键、计划任务或服务创建；凭证访问阶段对应 lsass.exe 被非授权进程读取；横向移动阶段对应 4624 类型 3 登录与 SMB 命名管道活动；渗出阶段对应大流量外联或云存储上传。把这些信号按阶段串起来，才能从“单点告警”升级为“攻击链还原”。

三、MITRE ATT&CK：把对手行为变成可复用的检测语言

ATT&CK 的价值在于提供了一套统一的战术（Tactic）与技术（Technique）编号体系，使威胁情报、检测规则和红队演练可以对齐。战术回答“对手想达到什么目的”，如初始访问、执行、持久化、权限提升、防御规避、凭证访问、发现、横向移动、收集、命令与控制、渗出、影响；技术回答“对手用什么方法实现”，如 T1059 命令与脚本解释器、T1053 计划任务、T1003 OS 凭证转储、T1021 远程服务。

在检测工程中，ATT&CK 通常以“覆盖矩阵”的方式使用。做法是：先列出企业已接入的日志源，再逐条评估每个技术是否有对应检测规则，最后标注覆盖状态为“已覆盖、部分覆盖、未覆盖”。例如，若企业已接入 Sysmon 进程创建和 Windows 安全日志，则 T1059 与 T1053 通常可覆盖；若未接入 DNS 查询日志，则 T1071 应用层协议 C2 与 T1048 非 C2 协议渗出基本处于未覆盖状态。覆盖矩阵不是一次性文档，而应随日志源扩展和规则迭代持续更新。

四、企业资产与攻击面分析：检测的落点在哪里

攻击面分析的目标是回答“对手可能从哪里进来、进来后能碰到什么”。企业资产可分为四类：身份资产（AD 域控、Entra ID、特权账号、服务账号）、终端资产（员工笔记本、服务器、容器节点）、网络资产（边界防火墙、VPN 网关、暴露的 Web 服务、DNS）、数据资产（数据库、对象存储、代码仓库、备份系统）。每一类资产对应不同的暴露面和日志源。

实际操作中，建议按以下顺序建立资产与攻击面清单：第一步，从 CMDB、云资产接口和网络扫描结果汇总资产台账，至少包含主机名、IP、责任人、业务等级、操作系统版本；第二步，标注每台资产的暴露状态，区分“互联网直接可达”“仅内网可达”“仅跳板机可达”；第三步，标注资产上运行的关键服务与开放端口，例如 3389、445、22、443；第四步，将资产与 ATT&CK 技术关联，例如域控对应 T1003 与 T1558，暴露的 Web 服务对应 T1190，VPN 网关对应 T1133 外部远程服务。完成这四步后，检测规则的部署位置和优先级就有了明确依据。

五、把对手模型落到检测优先级上

将上述四条线索合并，可以得到一个可操作的检测优先级判断逻辑：先看行为体类型，判断对手的资源与隐蔽性；再看攻击阶段，判断当前处于链条的哪一环；再看 ATT&CK 技术编号，判断是否有现成规则可复用；最后看资产等级与暴露面，判断影响范围。四者叠加后，优先级自然分层。例如，“APT 组织 + 凭证访问阶段 + T1003 + 域控资产”应列为最高优先级并立即人工介入；“机会主义团伙 + 初始访问阶段 + T1566 + 普通员工终端”可按批量告警流程处理，但需关注是否出现后续阶段信号。

需要强调的是，对手模型不是静态画像。勒索团伙会借鉴 APT 的凭证窃取手法，APT 也会使用商品化勒索工具作为掩护。因此，检测工程应保持“行为优先于标签”的原则：不因为某个行为历史上只出现在某类对手身上就降低关注，而是持续观察行为链的完整性和资产影响面。下一阶段的工作，就是把这些判断转化为具体的日志采集范围、检测规则和告警分级策略。