隐蔽 (TA0005)

一句话理解

攻击者像小偷一样隐藏自己的行踪——擦掉指纹、改监控录像、把工具伪装成普通物品，让你发现不了有人来过。

战术概述

隐蔽（原名防御规避）是MITRE ATT&CK框架中攻击者进入系统后使用的战术，编号为TA0005。

通俗解释： 就像小偷入室盗窃——他们不仅偷东西，还会戴手套不留指纹、关掉监控摄像头、把撬锁工具藏起来、假装自己是维修工。攻击者做同样的事：他们删除日志（擦指纹）、禁用杀毒软件（关摄像头）、把恶意软件伪装成正常文件（藏工具）、用合法账户登录（假扮维修工）。

在攻击中的作用： 隐蔽战术贯穿整个攻击链的全过程。从初始访问到数据窃取，攻击者在每一个环节都需要隐藏自己。如果没有隐蔽手段，攻击者很快就会被安全系统发现并清除。隐蔽做得越好，攻击者在网络中存活的时间就越长，造成的危害也就越大。

包含的技术类型： 该战术包含30种技术，涵盖10个主要方向：隐藏痕迹（隐藏文件/进程/账户）、混淆代码（加密/加壳/编码）、伪装身份（冒充系统工具/合法文件）、清除证据（删日志/改时间戳）、劫持执行流（DLL劫持/进程注入）、利用系统工具（LOLBins/白名单绕过）、令牌与账户操纵（访问令牌/有效账户）、虚拟化/沙箱规避、执行护栏以及社会工程。

v19.1 变更说明

在 ATT&CK v19.1 中，原“防御规避 (Defense Evasion)“战术被拆分为两个独立战术：

• TA0005 (隐蔽 / Stealth)：保留以“隐藏自身“为核心的技术，如伪装、混淆、痕迹清除、执行流劫持等
• TA0112 (防御削弱 / Defense Impairment)：迁移以“破坏防御能力“为核心的技术，详见 08-Defense-Impairment

本次拆分的具体迁移情况：

战术在攻击链中的位置

攻击链全景图

graph LR
    A["侦察<br/>TA0043"] --> B["资源开发<br/>TA0042"]
    B --> C["初始访问<br/>TA0001"]
    C --> D["执行<br/>TA0002"]
    D --> E["持久化<br/>TA0003"]
    E --> F["权限提升<br/>TA0004"]
    F --> G["隐蔽<br/>TA0005"]
    G --> H["防御削弱<br/>TA0112"]
    H --> I["凭证访问<br/>TA0006"]
    I --> J["发现<br/>TA0007"]
    J --> K["横向移动<br/>TA0008"]
    K --> L["收集<br/>TA0009"]
    L --> M["命令与控制<br/>TA0011"]
    M --> N["数据窃取<br/>TA0010"]
    N --> O["影响<br/>TA0040"]

    style G fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff

当前战术的角色

隐蔽战术是攻击者的“保护伞“。在获得初始访问权限后，攻击者必须立即开始隐藏自己的存在，否则任何后续操作都可能被发现。隐蔽措施做得越好，攻击者在网络中的活动时间就越长。现代APT攻击平均潜伏时间超过200天，这很大程度上归功于精心的隐蔽策略。

前置战术

• 执行 (TA0002)：攻击者需要先执行恶意代码，然后才能开始隐藏自己的活动
• 持久化 (TA0003)：建立持久化机制后，需要隐藏这些机制不被发现
• 权限提升 (TA0004)：获得高权限后，才能更深入地破坏安全防御机制

后续战术

• 防御削弱 (TA0112)：隐蔽自身后，进一步破坏安全系统的检测能力
• 凭证访问 (TA0006)：在隐藏状态下窃取更多账户凭证
• 发现 (TA0007)：隐蔽地探索网络环境，寻找高价值目标

技术索引表

子技术索引

统计信息

• 技术总数：30 个
• 子技术总数：118 个
• 已完成文档：148 个（30 父技术 + 118 子技术）
• 进行中文档：0 个
• 待编写文档：0 个

推荐阅读顺序

入门阶段（第1-2周）

适合零基础的安全爱好者，从最简单、最直观的技术开始。

前置知识： 了解基本的操作系统概念（文件、进程、账户），会使用浏览器搜索。

推荐阅读：

1. 伪装 (T1036) - 最容易理解——就像给恶意软件“换马甲“，生活化的类比让你快速上手
2. 有效账户 (T1078) - 概念简单——用偷来的账号登录，你每天都在用账号登录，很容易理解
3. 清除痕迹 (T1070) - 直觉性强——删除日志就好比擦掉指纹，几乎没有技术门槛
4. 隐藏痕迹 (T1564) - 有趣又直观——隐藏文件的各种“花招“，像玩捉迷藏

学习建议：

• 先理解每个技术的“一句话概括“，建立整体认知
• 不要纠结技术细节，先搞清楚“攻击者在干什么“
• 可以结合影视作品中的黑客情节来加深理解

进阶阶段（第3-4周）

适合有一定基础的学习者，开始接触需要操作系统知识的技术。

前置知识： 了解Windows/Linux基本操作、进程和文件系统概念。

推荐阅读：

1. 去混淆/解码文件或信息 (T1140) - 理解攻击者如何将加密或编码的恶意代码还原为可执行内容
2. 系统二进制代理执行 (T1218) - 理解攻击者如何利用合法的系统工具“借刀杀人“
3. 间接命令执行 (T1202) - 学习攻击者如何通过系统信任的工具间接执行恶意命令
4. 混淆文件或信息 (T1027) - 学习代码混淆和加密的基本原理

学习建议：

• 在虚拟机中搭建实验环境，动手尝试这些技术
• 使用Process Monitor、Wireshark等工具观察攻击行为
• 配合MITRE ATT&CK官网查阅更多子技术细节

高级阶段（第5-6周）

适合有较好技术基础的学习者，深入理解复杂的底层技术原理。

前置知识： 了解操作系统内核概念、网络协议、编译原理基础知识。

推荐阅读：

1. Rootkit (T1014) - 深入系统内核，理解最底层的隐藏技术
2. 进程注入 (T1055) - 学习恶意代码如何在合法进程中“寄生“
3. 虚拟化/沙箱规避 (T1497) - 学习恶意软件如何检测并规避分析环境
4. 操作系统启动前 (T1542) - 了解固件和引导级的持久化技术

学习建议：

• 使用WinDbg、GDB等调试工具分析恶意软件行为
• 阅读安全厂商的APT分析报告，理解真实世界的攻击
• 在CTF比赛中练习相关技术的检测与防御

参考资料

官方文档

• MITRE ATT&CK - Defense Evasion
• MITRE ATT&CK Enterprise Matrix
• MITRE ATT&CK STIX Data

学习资源

• Atomic Red Team - 可执行的检测测试库，每个技术都有对应的测试用例
• LOLBAS Project - Windows系统“生活在陆地“的二进制文件列表
• GTFOBins - Linux系统的类似项目
• MITRE ATT&CK Navigator - 可视化ATT&CK矩阵的工具

检测工具

• Sysinternals Suite - Windows系统诊断和监控工具集
• Sigma Rules - 通用的检测规则格式
• YARA - 恶意软件识别和分类工具
• Velociraptor - 开源端点监控和取证平台

相关工具

• BloodHound - Active Directory攻击路径分析
• Mimikatz - Windows凭证提取工具（仅用于合法测试）
• Cobalt Strike - 对手模拟和红队工具
• Impacket - 网络协议工具集

速查卡

• 常用技术：T1684（社会工程）、T1070（清除日志）、T1218（系统二进制代理执行——rundll32/regsvr32）、T1027（代码混淆/加壳）
• 关键检测信号：事件日志被清除（Event ID 1102）、rundll32执行异常DLL、可疑进程名/路径伪装（T1036）、DLL搜索顺序异常（T1574）、异常认证警报涌入（T1684）
• 攻击者常用工具：Cobalt Strike（进程注入/混淆）、ConfuserEx（加壳）、Process Hacker（结束安全进程）、Mimikatz
• 防御要点：启用Sysmon详细日志、配置EDR不可终止保护、部署AMSI/ETW监控、使用AppLocker限制LOLBins执行
• 蓝队关注点：隐蔽战术贯穿攻击全程——“日志突然中断“本身就是最重要的告警信号；伪造认证警报（T1684）会制造噪音干扰研判，需建立告警基线

版本: v19.1 | 更新: 2026-07-28 | 模板: 战术README v3.1