ATT&CK 知识库 v19

基于 MITRE ATT&CK® v19 Enterprise 矩阵的完整知识库，覆盖全部 15 个战术（Tactics） 和 254 个技术（Techniques），包含 910+ 子技术。所有文档提供通俗理解、技术原理、真实案例、红蓝队视角、检测建议和动手实验。

⚠️ 免责声明

本知识库仅供网络安全教育、研究及防御目的使用。所有内容基于 MITRE ATT&CK® 框架的公开信息整理，旨在帮助安全从业人员了解攻击技术、提升防御能力。

禁止将本知识库中的任何技术、方法用于未经授权的非法活动。任何利用本知识库内容进行的违法行为，均由行为人自行承担全部法律责任。

作者及贡献者不对因使用本知识库内容而产生的任何直接或间接损失承担责任。使用者应遵守所在地相关法律法规，合法合规地使用本知识库。

知识库概览

攻击链全景图

下图展示了 MITRE ATT&CK 框架中全部 15 个战术在典型攻击链中的推进顺序：

graph LR
    A["01 侦察<br/>TA0043"] --> B["02 资源开发<br/>TA0042"]
    B --> C["03 初始访问<br/>TA0001"]
    C --> D["04 执行<br/>TA0002"]
    D --> E["05 持久化<br/>TA0003"]
    E --> F["06 权限提升<br/>TA0004"]
    F --> G["07 隐蔽<br/>TA0005"]
    G --> H["08 防御削弱<br/>TA0112"]
    H --> I["09 凭证访问<br/>TA0006"]
    I --> J["10 发现<br/>TA0007"]
    J --> K["11 横向移动<br/>TA0008"]
    K --> L["12 收集<br/>TA0009"]
    L --> M["13 命令与控制<br/>TA0011"]
    M --> N["14 渗漏<br/>TA0010"]
    N --> O["15 影响<br/>TA0040"]

    style A fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style B fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style C fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style D fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style E fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style F fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style G fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style H fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style I fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style J fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style K fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style L fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style M fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style N fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff
    style O fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff

统计总览

战术详览

01 - 侦察 (TA0043)

侦察就像小偷在踩点，观察目标的环境和弱点——了解得越多，下手越容易。

侦察是网络攻击的第一步。攻击者在正式入侵目标系统之前，花大量时间收集信息——目标有哪些服务器、用了什么软件、员工是谁、网络结构什么样。

技术数：12 个 | 子技术数：34 个

→ 详细文档

02 - 资源开发 (TA0042)

攻击者在发动攻击之前，需要准备“武器“和“阵地“——买域名、租服务器、造木马、建假身份，这就是资源开发。

资源开发是攻击者的“备战阶段“，发生在侦察之后、初始访问之前。

技术数：10 个 | 子技术数：41 个

→ 详细文档

03 - 初始访问 (TA0001)

初始访问就像小偷找到进入房子的第一个入口——攻击者想尽一切办法“进门“，无论是翻窗、骗钥匙，还是跟着快递员混进去。

初始访问是攻击者从“外部“进入“内部“的转折点，位于侦察和资源开发之后。

技术数：10 个 | 子技术数：11 个

→ 详细文档

04 - 执行 (TA0002)

执行就是攻击者想尽办法让恶意代码在你的电脑上“跑起来“——就像小偷撬开门锁之后，需要在屋里动手翻找东西一样。

执行是攻击链中最关键的一环——它紧跟在初始访问之后，是攻击者从“进得来“到“干得了“的转折点。

技术数：20 个 | 子技术数：46 个

→ 详细文档

05 - 持久化 (TA0003)

攻击者在你的系统里“安家“，确保即使你发现了部分入侵痕迹，他们依然能卷土重来。

持久化就像小偷在你家装了暗门——即使你换了锁、重装了系统，他依然能通过暗门随时进来。

技术数：25 个 | 子技术数：106 个

→ 详细文档

06 - 权限提升 (TA0004)

权限提升就像从普通员工变成公司管理员——拿到门禁卡后，想办法进入总经理办公室，获取更高的系统控制权。

攻击者通过初始访问进入系统后往往只有低权限，要真正控制目标系统必须提升权限。

技术数：13 个 | 子技术数：89 个

→ 详细文档

07 - 隐蔽 (TA0005)

攻击者像小偷一样隐藏自己的行踪——擦掉指纹、改监控录像、把工具伪装成普通物品，让你发现不了有人来过。

隐蔽战术贯穿整个攻击链全过程，是攻击者的“保护伞“。

技术数：25 个 | 子技术数：172 个

→ 详细文档

08 - 防御削弱 (TA0112)

防御削弱就是攻击者想办法让保安系统失效——关掉摄像头、伪造通行证、删掉监控记录，让你发现不了他来过。

防御削弱贯穿整个攻击生命周期，核心逻辑是让安全产品“看不见“、“管不了”、“来不及反应”。

技术数：25 个 | 子技术数：134 个

→ 详细文档

09 - 凭证访问 (TA0006)

凭证访问就像偷钥匙——攻击者想方设法拿到你的登录密码、令牌或证书，然后冒充你进入系统。

凭证访问是横向移动和权限提升的关键前置步骤——有了凭证，整个域都可能沦陷。

技术数：19 个 | 子技术数：63 个

→ 详细文档

10 - 发现 (TA0007)

发现就像小偷进家后先四处张望——看看屋里有什么值钱的东西、有没有人、门在哪里。

发现是整个攻击链条中的“侦察兵“阶段——攻击者需要搞清楚“我在哪“、“周围有什么”。

技术数：35 个 | 子技术数：24 个

→ 详细文档

11 - 横向移动 (TA0008)

横向移动就像小偷潜入大楼后，从一个房间摸到另一个房间。

横向移动是攻击者从“已入侵“到“达成目标“的必经之路。

技术数：11 个 | 子技术数：14 个

→ 详细文档

12 - 收集 (TA0009)

攻击者把已经找到的有价值数据打包带走，就像小偷进到屋里翻到值钱的东西后，往自己口袋里装。

收集是攻击链中数据从受害者环境转移到攻击者控制的关键转折点。

技术数：17 个 | 子技术数：18 个

→ 详细文档

13 - 命令与控制 (TA0011)

命令与控制就像攻击者手里的遥控器——通过它远程指挥被黑掉的电脑干活。

C2通道的质量直接决定了攻击者能在目标网络中“存活“多久。

技术数：19 个 | 子技术数：33 个

→ 详细文档

14 - 渗漏 (TA0010)

数据渗漏就是攻击者把偷到的数据偷偷运出去，就像小偷在屋里翻到值钱的东西后，要想办法运出小区大门。

渗漏是攻击者的最终目标之一——把有价值的数据拿到手。

技术数：9 个 | 子技术数：9 个

→ 详细文档

15 - 影响 (TA0040)

影响就是攻击者最后一步——毁你的数据、瘫你的系统、勒索你的钱财，让你没法正常干活。

影响是攻击链的终点，攻击者通过勒索加密、数据销毁或服务中断实现最终目的。

技术数：11 个 | 子技术数：12 个

→ 详细文档

完整统计

总计：15 个战术，254 个技术，900+ 个子技术，274 篇文档

学习路径

基础篇（适合入门）

1. 侦察 → 资源开发 → 初始访问 → 执行：理解攻击者如何“踩点、准备、进门、动手“
2. 影响：最直观易懂——勒索软件、DDoS都是新闻常见概念

进阶篇（需要一定基础）

3. 持久化 → 权限提升：理解攻击者如何在系统里“安家“和“升官“
4. 发现 → 横向移动：理解攻击者如何“摸清环境、跳来跳去“

高级篇（需要深入技术理解）

5. 隐蔽 → 防御削弱：理解攻击者如何“隐身、关掉保安“
6. 凭证访问 → 收集：理解攻击者如何“偷钥匙、拿数据“
7. 命令与控制 → 渗漏：理解攻击者如何“遥控、运脏“

文章结构规范

每篇技术文章按以下结构组织：

数据来源

• MITRE ATT&CK® Enterprise Matrix v19
• MITRE ATT&CK STIX Data
• 互联网公开威胁情报、安全研究报告、APT 分析报告

版本: v19 | 更新: 2026-06 | 文档数: 274 | 完成度: 100%