ATT&CK框架，说白了就是一本全球通用的《黑客作案手法大全》——一家叫MITRE的非营利研究机构，把全世界黑客惯用的招数一条条拆出来、编上号、写成词条，供所有防守方免费查阅。就像警方给小偷建立“作案手法档案库”：踩点、撬锁、望风、销赃各有各的编号，保安巡逻时照着档案排查，就能知道“这一招我家监控能不能拍到”。

为什么现在值得了解？因为2026年这套档案刚完成了一次十年来最大的一次改版：老牌的“防御规避”战术被拆分重组，还首次把“利用AI服务攻击”这类新招写进了矩阵；8月又启用了“敏捷发布”模式追热点威胁。安全圈正在热议，而你手机里的杀毒软件、公司买的防火墙，宣传页上很可能就印着“覆盖ATT&CK xx%”这句话。

目录

1. ATT&CK框架是什么？——给黑客招数办户口
2. 为什么最近这么火？——v19大改版+AI写进矩阵
3. 一张图看懂——小偷的“全流程”与档案的层级
4. 和我有什么关系？——普通人/从业者/投资者各看一份
5. 一分钟总结
6. 延伸阅读与参考来源

第一节：ATT&CK框架是什么？

先拆名字。 ATT&CK 全称是 Adversarial Tactics, Techniques & Common Knowledge（对抗性战术、技术与公共知识库），由美国非营利机构 MITRE（麻省理工学院林肯实验室体系下运营联邦研发中心的智库）打造，2015年对外发布，如今已是全球安全行业的事实标准。

它到底长什么样？ 打开官网 attack.mitre.org，你会看到一张巨大的表格，行业里叫“矩阵”。以覆盖企业环境（Windows、macOS、Linux、云、容器、网络设备等）的 Enterprise 矩阵为例，横向是战术（Tactic）——黑客“想干什么”，按攻击的时间顺序排成一条链；纵向每个战术下面是技术（Technique）——黑客“具体怎么干”；技术下面还能再拆子技术（Sub-technique）；每个技术词条里还记录了哪些真实团伙用过（他们叫“组织 Groups”和“软件 Software”），并附上防御建议（缓解措施）和检测思路。

以最新 v19 版为例，Enterprise 矩阵共有15个战术阶段、250多个技术，子技术上千个。15个战术连起来，就是一条完整的“犯罪链”：

• 侦察：踩点，上网搜你公司的员工邮箱、技术架构
• 资源开发：备工具，注册假域名、买服务器、开发恶意软件
• 初始访问：进门，发钓鱼邮件、找系统漏洞闯入
• 执行：动手，诱导你点开附件、运行恶意代码
• 驻留：安家，设置开机自启，重启也不消失
• 权限提升：升级，从普通账户变成管理员
• 隐身（Stealth）：伪装，把恶意文件藏起来、伪装成正常程序
• 瘫痪防御（Defense Impairment）：拆监控，关掉杀毒软件、清空日志
• 窃取凭证：配钥匙，偷密码、偷数字证书
• 发现：摸底，查看你网络里还有哪些值钱目标
• 横向移动：串门，从一台电脑跳到另一台
• 收集：装箱，把数据和文件打包
• 命令与控制：遥控，被感染的电脑接收远端同伙指令
• 外传：运赃，把偷到的数据悄悄送出公司
• 影响：撕票，加密文件勒索赎金、篡改数据

它解决什么问题？ 在ATT&CK出现之前，安全圈各有各的说法：甲厂商报告里写“检测到可疑行为A”，乙厂商写“拦截威胁B”，大家鸡同鸭讲。ATT&CK统一了语言——大家都按同一套编号说“这波攻击用了T1566钓鱼、T1486加密勒索”，报告能对齐、产品能比较、演练能打分。它是纯防守视角的公共知识库：不教人怎么攻击，只教防守方看懂攻击，全部免费开放。

第二节：为什么最近这么火？

第一，v19大改版，安全圈十年一遇的结构调整。 2026年4月底发布的ATT&CK v19，做了一件轰动安全社区的事：服役多年的老牌战术“防御规避（Defense Evasion）”正式退役，拆成了两个更清晰的新战术——Stealth（隐身），管的是“把自己藏起来”（隐藏文件、伪装进程、rootkit）；Defense Impairment（瘫痪防御），管的是“把防守方的工具搞残”（关闭防火墙、清空安全日志、削弱加密）。以前这两类招数混在一栏，防守方梳理检测规则时经常纠结；拆开后“藏自己”和“拆监控”泾渭分明。

第二，AI攻击手法首次成建制入册。 最新矩阵里你能看到这些新词条：侦察阶段的“查询公共AI服务”（黑客用ChatGPT这类工具套取目标情报）、资源开发阶段的“获取能力：人工智能”（把AI当攻击工具采购）、“生成内容”（用AI批量生成钓鱼话术和假音视频）、用户执行阶段的“恶意图像”“恶意复制粘贴”。AI时代的攻击套路，正在被这套档案逐条记录归档。

第三，发布节奏变快了。 过去ATT&CK一年更新两次，慢工出细活；但2026年攻击活动跑得太快，MITRE在8月6日启用了全新的“敏捷发布（Agile release）”模式，在常规版本之间插播紧急更新。首次敏捷更新（v19.2）就收录了窃取数据进行倒卖勒索的犯罪团伙ShinyHunters、发动蠕虫式供应链攻击的Shai-Hulud等热点威胁。档案库开始“追热搜”了。

第四，它无处不在。 你会注意到，安全厂商发布产品必提“ATT&CK覆盖度”，安全媒体复盘重大攻击事件按ATT&CK编号逐步拆解，企业招聘安全运营工程师笔试里就有它。10月底行业大会ATT&CKcon还将举办，这个诞生于2015年的框架，热度正处在新高点上。

第三节：一张图看懂

图一：把黑客攻击想成“小偷作案全流程”——ATT&CK的15个战术就是这条链的每一步：

flowchart TD
    A[准备踩点<br/>侦察目标 备好工具] --> B[进门<br/>初始访问 钓鱼开路]
    B --> C[落地<br/>执行恶意程序]
    C --> D[安家<br/>驻留 开机自启]
    D --> E[升级<br/>提权 拿管理员权限]
    E --> F[隐身与拆防<br/>藏好痕迹 关掉杀毒]
    F --> G[找值钱货<br/>摸清家底 偷密码]
    G --> H[串门<br/>横向移动 扩大战果]
    H --> I[打包赃物<br/>收集数据]
    I --> J[遥控与运赃<br/>联络同伙 数据外传]
    J --> K[图穷匕见<br/>影响 加密勒索]

防守方做的事，就是在这条链的每一站布监控：进门前拦邮件、执行时查程序、外传时看流量。链条越早发现，损失越小。

图二：档案的四层结构——像图书馆分类，越查越细：

flowchart TD
    T[战术<br/>想干什么 比如窃取凭证] --> P[技术<br/>用什么手段 比如翻密码库]
    P --> S[子技术<br/>具体手法 比如翻浏览器存的密码]
    S --> R[实战记录<br/>哪个团伙干过 怎么防怎么查]

第四节：和我有什么关系？

如果你是普通人： 一是看懂新闻——以后刷到“某公司遭勒索软件攻击”的报道，报道里的攻击步骤（钓鱼入侵→关杀毒→加密文件）其实就是ATT&CK链路上的几步，你一眼就能看懂事态；二是看懂广告——安全软件宣传“覆盖ATT&CK 90%技术”不必迷信，覆盖率不等于防护力，但至少说明这家厂商说的是“行话”；三是保护自己——攻击链的第一环往往是“人”，不点陌生附件、不扫来路不明的二维码，你就掐断了链条最便宜的一环。

如果你是从业者： 这是安全岗位的“普通话”。SOC分析师（安全监控值班员）按ATT&CK写检测规则，红队（扮演攻击者的安全测试人员）按ATT&CK规划演练动作，威胁情报团队按ATT&CK归纳团伙画像。官网全部免费，还有个叫ATT&CK Navigator的开源工具，能把矩阵做成热力图标出自家防护盲区。零基础入行安全，从通读这套矩阵开始性价比极高。

如果你是投资者： ATT&CK是给安全行业“定尺子”的存在。尺子一出，就有了可比性：XDR（扩展检测响应）、SIEM（安全日志分析平台）等产品的宣传围绕覆盖度展开，还催生了BAS（入侵与攻击模拟）这类新赛道——专门自动验证“你家产品到底能拦住矩阵里的哪几招”。看懂这把尺子，再看安全厂商的路演材料，就能分辨谁是真功夫、谁是念PPT。

第五节：一分钟总结

1. ATT&CK是MITRE机构2015年起免费开放的“黑客手法百科全书”，把攻击拆成战术（目的）→技术（手段）→子技术（细节）三层编号。
2. 最新v19版有15个战术、250多个技术，覆盖企业、移动、工控三大场景，还附防御与检测建议。
3. 2026年它干了三件大事：防御规避战术拆分为“隐身”+“瘫痪防御”、AI攻击手法入册、启用敏捷发布模式追热点威胁。
4. 它是安全行业的“普通话”：厂商比对产品、企业做攻防演练、媒体复盘事件都用同一套语言。
5. 对个人而言，看懂它=看懂安全新闻和产品广告；对从业者，它是免费的入行地图。

延伸阅读

• 网络杀伤链（Kill Chain）：ATT&CK的“前辈”，把攻击分为7个阶段，更粗线条，适合理解“御敌于国门之外”的思想。
• 威胁情报IOC：失陷指标，如恶意IP、文件哈希——如果说ATT&CK记录的是“招式”，IOC就是“凶器照片”，两者配合使用（本栏此前已解读）。
• BAS入侵与攻击模拟：用自动化工具按ATT&CK矩阵“考试”，检验自家安全产品到底是学霸还是学渣。

参考来源

1. MITRE ATT&CK官方网站 — 官方定义、Enterprise矩阵最新15战术结构与平台覆盖。
2. ATT&CK官方Updates更新页 — v19.2敏捷发布（2026年8月6日）收录ShinyHunters、Shai-Hulud等威胁的官方说明。
3. ATT&CK Enterprise矩阵页 — 战术/技术/子技术完整清单及“查询公共AI服务”等AI新词条。

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。