目录
Docs / soc |

告警映射与 ATT&CK 分类

sentinel, Lab sentinel, Lab v3.0 STABLE
ATT&CK 告警降噪 SIEM SOAR 安全运营

场景 2 — 阶段一：告警映射与 ATT&CK 分类

告警-技术映射示例

告警源 原始告警 ATT&CK 映射
EDR 可疑 PowerShell 执行 T1059.001
WAF SQL 注入尝试 T1190
NDR SMB 横向连接异常 T1021.002
EDR Mimikatz 进程检测 T1003
DLP 大量数据外传 T1041
SIEM 异常 DNS 请求 T1071.004
邮件 钓鱼邮件投递 T1566.001
终端 注册表自启动修改 T1547.001
防火墙 Cobalt Strike 通信 T1071.001

映射流程

  1. 告警字段标准化：统一字段命名，映射到 MITRE 数据源和数据组件
  2. 技术 ID 标注：每条告警规则标注对应 ATT&CK 技术 ID（如 T1059.001）
  3. 战术归属分类：技术 ID → 所属战术阶段，标记攻击链中的位置
  4. 数据源标注：标注告警所需数据源（进程 / 网络 / 文件 / 注册表 / 身份）
  5. 覆盖率评估：评估现有规则对 ATT&CK 技术的覆盖率，识别检测盲区

ATT&CK 技术覆盖率

战术 覆盖率 状态
初始访问 75% ✅
执行 80% ✅
持久化 60% ⚠
提权 55% ⚠
防御绕过 35% ❌ 检测盲区
凭证获取 70% ✅
横向移动 65% ⚠
C2 50% ⚠
数据外泄 45% ❌ 检测盲区
影响 80% ✅

检测盲区：防御绕过 35% · 数据外泄 45% — 需优先补充规则

申明
转载请申明本文档链接 Post by sentinel, Lab.
贡献开源文档
贡献当前文档 学习开源贡献 Learning about open source contributions
此文档对您有帮助吗

感谢您的反馈

100%