隐蔽 (TA0005)

一句话理解

攻击者像小偷一样隐藏自己的行踪——擦掉指纹、改监控录像、把工具伪装成普通物品，让你发现不了有人来过。

战术概述

隐蔽（原名防御规避）是MITRE ATT&CK框架中攻击者进入系统后使用的战术，编号为TA0005。

通俗解释： 就像小偷入室盗窃——他们不仅偷东西，还会戴手套不留指纹、关掉监控摄像头、把撬锁工具藏起来、假装自己是维修工。攻击者做同样的事：他们删除日志（擦指纹）、禁用杀毒软件（关摄像头）、把恶意软件伪装成正常文件（藏工具）、用合法账户登录（假扮维修工）。

在攻击中的作用： 隐蔽战术贯穿整个攻击链的全过程。从初始访问到数据窃取，攻击者在每一个环节都需要隐藏自己。如果没有隐蔽手段，攻击者很快就会被安全系统发现并清除。隐蔽做得越好，攻击者在网络中存活的时间就越长，造成的危害也就越大。

包含的技术类型： 该战术包含25种技术，涵盖10个主要方向：隐藏痕迹（隐藏文件/进程/账户）、混淆代码（加密/加壳/编码）、伪装身份（伪造签名/冒充系统工具）、破坏防御（禁用杀毒/EDR/日志）、清除证据（删日志/改时间戳）、劫持执行流（DLL劫持/进程注入）、利用系统工具（LOLBins/白名单绕过）、修改认证过程（万能密码/绕过MFA）、供应链攻击（污染软件更新）以及虚拟化/沙箱规避。

战术在攻击链中的位置

攻击链全景图

graph LR
    A["侦察<br/>TA0043"] --> B["资源开发<br/>TA0042"]
    B --> C["初始访问<br/>TA0001"]
    C --> D["执行<br/>TA0002"]
    D --> E["持久化<br/>TA0003"]
    E --> F["权限提升<br/>TA0004"]
    F --> G["隐蔽<br/>TA0005"]
    G --> H["防御削弱<br/>TA0112"]
    H --> I["凭证访问<br/>TA0006"]
    I --> J["发现<br/>TA0007"]
    J --> K["横向移动<br/>TA0008"]
    K --> L["收集<br/>TA0009"]
    L --> M["命令与控制<br/>TA0011"]
    M --> N["数据窃取<br/>TA0010"]
    N --> O["影响<br/>TA0040"]

    style G fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff

当前战术的角色

隐蔽战术是攻击者的“保护伞“。在获得初始访问权限后，攻击者必须立即开始隐藏自己的存在，否则任何后续操作都可能被发现。隐蔽措施做得越好，攻击者在网络中的活动时间就越长。现代APT攻击平均潜伏时间超过200天，这很大程度上归功于精心的隐蔽策略。

前置战术

• 执行 (TA0002)：攻击者需要先执行恶意代码，然后才能开始隐藏自己的活动
• 持久化 (TA0003)：建立持久化机制后，需要隐藏这些机制不被发现
• 权限提升 (TA0004)：获得高权限后，才能更深入地破坏安全防御机制

后续战术

• 防御削弱 (TA0112)：隐蔽自身后，进一步破坏安全系统的检测能力
• 凭证访问 (TA0006)：在隐藏状态下窃取更多账户凭证
• 发现 (TA0007)：隐蔽地探索网络环境，寻找高价值目标

技术索引表

子技术索引

| T1564.013 | 邮件隔离绕过 | ⭐⭐ | 攻击者通过各种技术绕过电子邮件隔离系统，使恶意邮件能够到达目标用户收件箱 | ✅ 已完成 |

| T1564.014 | 通行证条目 | ⭐⭐ | 攻击者在iOS设备的钱包应用中创建恶意通行证条目，用于隐藏恶意活动或分发恶意内容 | ✅ 已完成 |

统计信息

• 技术总数：25 个
• 子技术总数：167 个
• 已完成文档：167 个
• 进行中文档：0 个
• 待编写文档：0 个

推荐阅读顺序

入门阶段（第1-2周）

适合零基础的安全爱好者，从最简单、最直观的技术开始。

前置知识： 了解基本的操作系统概念（文件、进程、账户），会使用浏览器搜索。

推荐阅读：

1. 伪装 (T1036) - 最容易理解——就像给恶意软件“换马甲“，生活化的类比让你快速上手
2. 有效账户 (T1078) - 概念简单——用偷来的账号登录，你每天都在用账号登录，很容易理解
3. 清除痕迹 (T1070) - 直觉性强——删除日志就好比擦掉指纹，几乎没有技术门槛
4. 隐藏痕迹 (T1564) - 有趣又直观——隐藏文件的各种“花招“，像玩捉迷藏

学习建议：

• 先理解每个技术的“一句话概括“，建立整体认知
• 不要纠结技术细节，先搞清楚“攻击者在干什么“
• 可以结合影视作品中的黑客情节来加深理解

进阶阶段（第3-4周）

适合有一定基础的学习者，开始接触需要操作系统知识的技术。

前置知识： 了解Windows/Linux基本操作、进程和文件系统概念。

推荐阅读：

1. 命令和脚本解释器 (T1059) - 学会理解攻击者如何用PowerShell和CMD执行命令
2. 系统二进制代理执行 (T1218) - 理解攻击者如何利用合法的系统工具“借刀杀人“
3. 削弱防御 (T1562) - 了解攻击者如何禁用杀毒软件和EDR
4. 混淆文件或信息 (T1027) - 学习代码混淆和加密的基本原理

学习建议：

• 在虚拟机中搭建实验环境，动手尝试这些技术
• 使用Process Monitor、Wireshark等工具观察攻击行为
• 配合MITRE ATT&CK官网查阅更多子技术细节

高级阶段（第5-6周）

适合有较好技术基础的学习者，深入理解复杂的底层技术原理。

前置知识： 了解操作系统内核概念、网络协议、编译原理基础知识。

推荐阅读：

1. Rootkit (T1014) - 深入系统内核，理解最底层的隐藏技术
2. 进程注入 (T1055) - 学习恶意代码如何在合法进程中“寄生“
3. 供应链攻击 (T1195) - 理解最高级的隐蔽攻击方式
4. 操作系统启动前 (T1542) - 了解固件和引导级的持久化技术

学习建议：

• 使用WinDbg、GDB等调试工具分析恶意软件行为
• 阅读安全厂商的APT分析报告，理解真实世界的攻击
• 在CTF比赛中练习相关技术的检测与防御

参考资料

官方文档

• MITRE ATT&CK - Defense Evasion
• MITRE ATT&CK Enterprise Matrix
• MITRE ATT&CK STIX Data

学习资源

• Atomic Red Team - 可执行的检测测试库，每个技术都有对应的测试用例
• LOLBAS Project - Windows系统“生活在陆地“的二进制文件列表
• GTFOBins - Linux系统的类似项目
• MITRE ATT&CK Navigator - 可视化ATT&CK矩阵的工具

检测工具

• Sysinternals Suite - Windows系统诊断和监控工具集
• Sigma Rules - 通用的检测规则格式
• YARA - 恶意软件识别和分类工具
• Velociraptor - 开源端点监控和取证平台

相关工具

• BloodHound - Active Directory攻击路径分析
• Mimikatz - Windows凭证提取工具（仅用于合法测试）
• Cobalt Strike - 对手模拟和红队工具
• Impacket - 网络协议工具集