资源开发 (TA0042)

一句话理解

攻击者在发动攻击之前，需要准备“武器“和“阵地“——买域名、租服务器、造木马、建假身份，这就是资源开发。

战术概述

资源开发是MITRE ATT&CK框架中攻击准备阶段的战术，编号为TA0042。

通俗解释： 想象一下，一个军事行动在发起总攻之前，需要先准备好弹药、搭建好指挥部、安排好后勤补给。网络攻击也是一样——攻击者在真正入侵目标系统之前，有一大堆准备工作要做。资源开发就是攻击者的“备战阶段“。

在攻击中的作用： 资源开发发生在侦察（踩点）之后、初始访问（正式入侵）之前。这个阶段决定了攻击者是否有足够的能力和条件发起攻击。没有充分的资源开发，攻击者的行动就像没有武器的士兵——寸步难行。

包含的技术类型： 在这个阶段，攻击者会做以下六类事情：

• 买基础设施（T1583）：买域名、租服务器，搭建自己的“秘密基地“
• 偷基础设施（T1584）：黑进别人的服务器当跳板，增加溯源难度
• 建假身份（T1585）：在LinkedIn上注册假账号，为钓鱼做准备
• 盗真账号（T1586）：盗用已有账号，利用信任关系发起攻击
• 造武器（T1587）：编写定制化的木马、漏洞利用代码
• 买武器（T1588）：从暗网购买现成的攻击工具
• 部署弹药（T1608）：把恶意软件部署到服务器上，随时准备攻击
• 买钥匙（T1650）：直接花钱买网络访问权限，跳过入侵步骤
• 内容注入（T1659）：在合法网站里偷偷塞入恶意代码
• AI造假（T1683）：用AI生成钓鱼邮件、深度伪造视频

战术在攻击链中的位置

攻击链全景图

graph LR
    A["侦察<br/>TA0043"] --> B["资源开发<br/>TA0042"]
    B --> C["初始访问<br/>TA0001"]
    C --> D["执行<br/>TA0002"]
    D --> E["持久化<br/>TA0003"]
    E --> F["权限提升<br/>TA0004"]
    F --> G["隐蔽<br/>TA0005"]
    G --> H["防御削弱<br/>TA0112"]
    H --> I["凭证访问<br/>TA0006"]
    I --> J["发现<br/>TA0007"]
    J --> K["横向移动<br/>TA0008"]
    K --> L["收集<br/>TA0009"]
    L --> M["命令与控制<br/>TA0011"]
    M --> N["数据窃取<br/>TA0010"]
    N --> O["影响<br/>TA0040"]

    style B fill:#ff6b6b,stroke:#333,stroke-width:2px

当前战术的角色

资源开发是攻击链的第二阶段，位于侦察之后、初始访问之前。攻击者在侦察阶段摸清目标情况后，就需要在这个阶段准备好攻击所需的一切“弹药“和“阵地“。这个阶段之所以重要，是因为它发生在攻击真正造成危害之前——如果蓝队能在此阶段发现异常（如发现与公司域名相似的钓鱼域名），就能将攻击扼杀在摇篮里。

前置战术

• 侦察 (TA0043)：攻击者需要先通过侦察了解目标信息（如公司名称、员工邮箱、技术架构），才能确定需要哪些资源。例如，知道了目标使用Office 365，攻击者才会去注册钓鱼域名 companyname-365.com。

后续战术

• 初始访问 (TA0001)：资源准备好之后，攻击者就可以利用这些资源发起初始攻击——用钓鱼域名发送邮件、用C2服务器控制被攻陷的系统、用恶意软件获取初始访问权限。
• 执行 (TA0002)：获得初始访问后，攻击者需要在目标系统上执行恶意代码，此时之前开发的恶意软件就派上了用场。

技术索引表

子技术索引

统计信息

• 技术总数：10 个
• 子技术总数：41 个
• 已完成文档：41 个
• 进行中文档：0 个
• 待编写文档：0 个

推荐阅读顺序

入门阶段（第1-2周）

适合零基础的安全爱好者，从最简单、最直观的技术开始。

前置知识： 了解基本的网络概念（域名、服务器、邮箱），会使用浏览器搜索。

推荐阅读：

1. T1583 获取基础设施 - 最基础的操作，理解攻击者如何搭建“秘密基地“。就像玩游戏先买装备一样，这是所有攻击的基础。
2. T1585 建立账户 - 了解攻击者如何创建虚假身份。技术门槛低，但概念非常重要——因为大多数攻击都始于信任欺骗。
3. T1588 获取能力 - 了解攻击者如何获取攻击工具。展示网络犯罪的“黑市经济“，帮助理解攻击工具的商业化运作。

学习建议：

• 重点关注“攻击流程“部分，理解攻击者的完整操作链
• 尝试用WHOIS和DNS工具做简单的域名查询练习
• 关注真实案例，理解这些技术在现实世界中的应用

进阶阶段（第3-4周）

适合有一定基础的学习者，开始接触更复杂的技术。

前置知识： 了解基本的安全概念（C2、钓鱼、恶意软件），熟悉操作系统基本操作。

推荐阅读：

1. T1608 暂存能力 - 理解攻击者如何部署和分发恶意内容，这是从“准备“到“攻击“的关键环节。
2. T1650 获取访问权限 - 了解初始访问经纪人（IAB）的运作模式，理解网络犯罪的“专业化分工“。
3. T1659 内容注入 - 了解Web层面的注入攻击，理解为什么信任的网站也可能不安全。
4. T1683 生成内容 - 了解AI时代的新型内容伪造技术，理解深度伪造和AI钓鱼的威胁。

学习建议：

• 尝试在授权的测试环境中搭建简单的钓鱼页面
• 学习使用Shodan等工具评估网络暴露面
• 关注AI安全的最新发展，了解AI如何改变攻击方式

高级阶段（第5-6周）

适合有较好技术基础的学习者，深入理解复杂技术原理。

前置知识： 了解Web安全基础知识、编程基础（Python或C++）、渗透测试基本概念。

推荐阅读：

1. T1584 破坏基础设施 - 深入理解攻击者如何“借刀杀人“，包括DNS劫持、路由器入侵等高阶技术。
2. T1587 开发能力 - 了解攻击者如何开发恶意软件和漏洞利用，理解定制化攻击工具的运作原理。
3. T1586 破坏账户 - 深入理解账户劫持技术，包括OAuth滥用、邮件线路劫持等高级技巧。

学习建议：

• 在授权的实验环境中练习DNS劫持检测
• 学习使用YARA规则和沙箱分析恶意软件
• 参与CTF比赛，实践漏洞利用技术

参考资料

官方文档

• MITRE ATT&CK - Resource Development
• MITRE ATT&CK Enterprise Matrix v19

学习资源

• CISA 网络安全资源 - 美国网络安全与基础设施安全局，提供大量安全指导
• Red Team Field Manual (RTFM) - 红队必备参考手册
• MITRE ATT&CK 中文知识库 - ATT&CK框架官方中文资源

相关工具

• DomainTools - 域名监控和威胁情报平台
• Shodan - 互联网设备搜索引擎，用于发现暴露的基础设施
• dnstwist - 域名相似度检测工具，发现钓鱼域名
• Censys - 互联网资产发现和监控平台