01
ATT&CK框架概述
框架起源、核心价值、战术与技术矩阵、在安全运营中的角色。
基础矩阵
02
威胁狩猎基础
威胁狩猎定义、与MDR/SOC的区别、狩猎假设驱动模型、成熟度模型。
概念模型
03
数据源与日志采集
Windows Event Log、Sysmon、ETW、网络流量日志、EDR遥测数据。
日志采集
04
初始访问 (Initial Access) 狩猎
鱼叉式钓鱼附件、水坑攻击、外部远程服务利用的检测方法。
钓鱼入口
05
执行 (Execution) 狩猎
命令行与脚本宿主（PowerShell、WMI）、计划任务、服务安装异常检测。
脚本进程
06
持久化 (Persistence) 狩猎
注册表Run键、启动文件夹、服务持久化、DLL劫持、计划任务后门。
后门自启动
07
权限提升 (Privilege Escalation) 狩猎
UAC绕过、令牌窃取、命名管道模拟、内核漏洞利用痕迹。
提权UAC
08
防御规避 (Defense Evasion) 狩猎
进程注入、代码签名绕过、混淆与反混淆、日志清理。
免杀注入
09
凭据访问 (Credential Access) 狩猎
LSASS内存转储、哈希传递、Kerberoasting、DPAPI滥用。
凭据哈希
10
发现 (Discovery) 狩猎
网络共享枚举、域信息收集、系统信息查询、账户权限枚举。
侦察枚举
11
横向移动 (Lateral Movement) 狩猎
RDP滥用、PsExec与WMI远程执行、SMB共享传播、SSH隧道。
横向远程
12
收集 (Collection) 狩猎
剪贴板数据窃取、屏幕截图、键盘记录、邮箱数据抓取。
窃密监控
13
命令与控制 (C&C) 狩猎
DNS隧道、HTTPS Beacon、域前置、非标准端口通信、心跳检测。
C2隧道
14
数据外泄 (Exfiltration) 狩猎
大流量出站检测、压缩与加密传输、云存储API滥用、定时外传。
外泄DLP
15
影响 (Impact) 狩猎
勒索软件行为模式、数据破坏、服务中断、系统擦除。
勒索破坏
16
ATT&CK Navigator实战
矩阵可视化、热力图分析、覆盖度评估、自定义层配置。
工具可视化
17
Sigma规则编写
Sigma语法基础、日志源映射、规则测试与调优、与ATT&CK映射。
Sigma检测
18
YARA规则与恶意文件狩猎
YARA语法、字符串与条件、内存扫描、与ATT&CK技术关联。
YARA恶意文件
19
KQL与Azure Sentinel狩猎
KQL基础查询、时间序列分析、异常检测函数、狩猎书签。
KQLSentinel
20
Splunk SPL狩猎
SPL统计命令、查找命令、事务与子搜索、数据模型加速。
SplunkSPL
21
ELK Stack狩猎
Elasticsearch聚合、Kibana可视化、Watcher告警、ECS字段映射。
ELKKibana
22
威胁情报融合狩猎
STIX/TAXII标准、IOC与IOA、情报源接入、上下文关联分析。
威胁情报STIX
23
用户与实体行为分析 (UEBA)
基线建立、异常评分、时间序列异常、Peer Group分析。
UEBA异常
24
网络流量狩猎
Zeek/Bro日志分析、TLS证书指纹、JA3/JA3S指纹、DNS异常检测。
流量Zeek
25
端点狩猎
内存取证、进程树分析、注册表快照对比、文件系统变更监控。
端点取证
26
云环境狩猎
AWS CloudTrail、Azure Activity Log、GCP Audit Log、云IAM滥用检测。
云IAM
27
容器与K8s环境狩猎
Kubernetes审计日志、容器逃逸检测、恶意镜像、RBAC滥用。
容器K8s
28
狩猎报告与事件响应
狩猎发现记录、时间线构建、证据固定、MITRE ATT&CK映射报告。
报告响应
29
狩猎自动化
Python脚本自动化查询、SOAR剧本集成、定时狩猎任务、告警降噪。
自动化SOAR
30
综合实战演练
模拟APT攻击场景、全链路狩猎分析、红蓝对抗复盘、课程总结与进阶路径。
实战APT