来源：https://www.mitre.org/attackcon
https://attack.mitre.org/resources/getting-started/
一、威胁情报
基于来自ATT&CK用户的反馈,在第一个ATT&CKcon和从其他途径,我们学到了很多,就像我们告诉你,我们已经意识到,这将有助于我们退后一步,专注于你们很多人一个问题:我如何开始使用ATT&CK吗?
这本书开始是一系列的博客文章，旨在回答这个问题的四个关键用例:
�（1）威胁情报
（2）�检测和分析
（3）�对手仿真和红队
�（4）评估和工程
我们根据这些用例重新组织了我们的网站来共享内容，我们希望这些博客文章能增加这些资源。
ATT&CK对于任何组织来说都是非常有用的，因为他们想要建立一个基于威胁的防御体系，所以我们想要分享如何开始的想法，不管你的团队有多复杂。
我们将把这些帖子分成不同的级别:
�一级对于刚开始那些可能没有许多资源
二级中层团队开始成熟
�三级为更先进的网络安全团队和资源
我们将以威胁情报作为本书的开篇，因为它是最好的用例(尽管我相信我的同事可能不同意!)
在2018年，我对如何利用ATT&CK推进网络威胁情报(CTI)进行了一个高层次的概述。在本章中，我将在此基础上，分享一些实用的入门建议。
1.1 一级
网络威胁情报就是要知道你的对手在做什么，然后利用这些信息来改进决策。对于一个只有几个分析师的组织来说，他们想要开始使用ATT&CK作为威胁情报，你可以从一个你关心的小组开始，观察他们在ATT&CK中的行为。
你可以根据他们之前的目标组织，从我们网站上的那些组织中选择一个小组。另外，许多威胁情报订阅提供商也映射到ATT&CK，因此您可以使用他们的信息作为参考。
从那里，您可以打开该组的页面，查看他们使用的技术(仅基于我们映射的开源报告)，以便了解更多关于他们的信息。如果你需要更多的技术信息，因为你不熟悉它，没有问题，它就在ATT&CK网站上。你可以对我们使用的每一个软件样本重复这个步骤，我们分别在ATT&CK的网站上追踪它们。
那么我们如何使这些信息变得可操作，这就是威胁情报的全部意义?让我们与我们的防御者分享它，因为这是一个针对我们部门的组织，我们想要防御他们。当你这样做的时候，你可以在ATT&CK网站上找到一些想法，让你开始检测和减轻技术。
例如:让你的防御者知道APT19使用的特定注册表运行键。但是，他们可能会改变这一点，并使用不同的运行键。如果您查看该技术的检测建议，您会看到一个建议是监视注册表中的新运行键，您不希望在您的环境中看到这些键。这将是与你的防御者进行的一个伟大的谈话。
总之，开始使用ATT&CK作为威胁情报的一个简单方法是查看您所关心的单个敌手组。识别他们使用过的一些行为可以帮助你告诉你的防御者他们如何尝试去发现那个群体。
1.2 二级
你有一个由威胁分析专家组成的团队，他们会定期查看对手的信息，你可以采取的下一个行动是将情报映射到自己身上，而不是使用其他人已经映射的信息。如果你有一个关于你的组织已经工作的事件的报告，这可以是一个伟大的内部来源映射到ATT&CK，或者你可以使用一个外部报告，如博客文章。为了简化这个过程，您可以只从一个报告开始。
我们意识到，当你不知道所有的数百种技术时，试图映射到ATT&CK是很可怕的。这里有一个你可以遵循的过程来帮助这一点。
1. 了解ATT&CK -熟悉ATT&CK的整体结构:
战术(对手的技术目标)、技术(如何实现这些目标)和过程(技术的具体实现)。看看我们的入门页面和哲学论文。
2. 找出对手的行为——从比原子指示器(比如IP地址)更广的角度考虑对手的行为。例如，上述报告中的恶意软件“建立了一个SOCKS5连接”。建立联系的行为是对手采取的行为。
3.研究行为——如果你不熟悉行为，你可能需要做更多的研究。在我们的例子中，一个小的研究表明SOCKS5是一个第5层(会话层)协议。
4. 将行为转化为战术——考虑对手的技术目标，然后选择一个合适的战术。好消息是:在企业战略中只有12种战术可供选择。对于SOCKS5连接示例，建立到以后通信的连接属于命令和控制策略。
5. 弄清楚什么技术适用于行为——这可能有点棘手，但是根据你的分析技能和ATT&CK网站上的例子，这是可行的。如果您在我们的网站上搜索SOCKS，就会弹出技术标准非应用层协议(T1095)。查看技术描述，您将发现这可能是我们的行为所适合的地方。
6. 将您的结果与其他分析人员进行比较—当然，您对某个行为的解释可能与其他分析人员不同。这很正常，而且在ATT&CK团队中经常发生!我强烈建议您将您的ATT&CK信息映射与其他分析师的进行比较，并讨论其中的差异。
对于那些有几个分析师的CTI团队来说，将信息映射到ATT&CK是一个很好的方法，可以确保您获得最相关的信息来满足您的组织的需求。从那里，你可以将att&ck地图上的敌方信息传递给你的防御者，以通知他们的防御，就像我们上面讨论的那样。
1.3三级
如果你的CTI团队是先进的，你可以开始映射更多的信息到ATT&CK，然后使用这些信息来优先考虑你如何防御。采用上述过程，您可以将内部和外部信息映射到ATT&CK，包括事件响应数据、来自OSINT或威胁intel订阅的报告、实时警报和组织的历史信息。
一旦你映射了这些数据，你就可以做一些很酷的事情来比较组和优先使用常用的技术。例如，从ATT&CK导航器中获取这个矩阵视图，我之前与ATT&CK网站上的技术共享了它。只有APT3使用的技术以蓝色突出显示;只有APT29使用的是黄色突出显示的，APT3和APT29都使用的是绿色突出显示的。(所有这些都是基于我们所映射的公开信息，而这些信息只是这些组织所做工作的一部分。)
您应该根据组织的主要威胁替换您关心的组和技术。为了帮助您创建自己的导航器层，就像我在上面所做的那样，这里有一个关于生成上述矩阵的步骤的逐步指南，以及一个视频演练，它还提供了导航器功能的概述。
然后，我们可以聚合信息来确定常用的技术，这可以帮助防御者知道应该优先处理什么。这让我们可以优先考虑技术，并与防御者分享他们应该关注的检测和减轻。在我们上面的矩阵中，如果APT3和APT29是组织中被认为对他们构成高威胁的两个组，那么绿色的技术可能是决定如何减轻和检测的最高优先级。如果我们的防御者已经给了CTI团队帮助确定他们应该在哪里优先分配防御资源的要求，我们可以与他们共享这些信息，作为他们开始的地方。
如果我们的防御者已经对他们能探测到什么进行了评估(我们将在以后的章节中讨论)，你就可以将这些信息叠加到你所知道的威胁上。这是一个很好的地方来集中您的资源，因为您知道您所关心的组已经使用了这些技术，而您无法检测它们!
您可以根据您所拥有的数据继续添加您所观察到的对手所使用的技术，并开发一个频繁使用的技术的“热图”。Brian Beyer和我在SANS CTI峰会上讨论了我们如何基于MITRE-curated和Red Canary-curated数据集提出不同的“前20”技术。你的团队可以遵循同样的过程来创建你自己的“前20名”。
这个映射ATT&CK技术的过程并不完美，并且存在偏见，但是这些信息仍然可以帮助您开始更清楚地了解对手在做什么。
(你可以在这张幻灯片上阅读更多关于偏见和限制的内容，我们希望很快分享更多的想法。)
对于想要将ATT&CK用于CTI的高级团队来说，将各种资源映射到ATT&CK可以帮助您建立对对手行为的深刻理解，从而帮助确定优先级并为您的组织提供防御信息。
总结
在我们的入门指南的第一章中，我们已经带你走过了三个不同的层次，如何开始ATT&CK和威胁情报，这取决于你的团队的资源。在以后的章节中，我们将深入探讨如何开始使用其他用例，包括检测和分析、对手模拟和红色团队、评估和工程。
