ATT&CK框架，说白了就是一本**全球通用的《黑客作案手法大全》**——一家叫MITRE的非营利研究机构，把全世界黑客惯用的招数一条条拆出来、编上号、写成词条，供所有防守方免费查阅。就像警方给小偷建立“作案手法档案库”：踩点、撬锁、望风、销赃各有各的编号，保安巡逻时照着档案排查，就能知道“这一招我家监控能不能拍到”。 为什么现在值得了解？因为2026年这套档案刚完成了一次十年来最大的一次改版：老牌的“防御规避”战术被拆分重组，还首次把“利用AI服务攻击”这类新招写进了矩阵；8月又启用了“敏捷发布”模式追热点威胁。安全圈正在热议，而你手机里的杀毒软件、公司买的防火墙，宣传页上很可能就印着“覆盖ATT&CK xx%”这句话。 ## 目录 1. ATT&CK框架是什么？——给黑客招数办户口 2. 为什么最近这么火？——v19大改版+AI写进矩阵 3. 一张图看懂——小偷的“全流程”与档案的层级 4. 和我有什么关系？——普通人/从业者/投资者各看一份 5. 一分钟总结 6. 延伸阅读与参考来源 --- ## 第一节：ATT&CK框架是什么？ **先拆名字。** ATT&CK 全称是 Adversarial Tactics, Techniques & Common Knowledge（对抗性战术、技术与公共知识库），由美国非营利机构 MITRE（麻省理工学院林肯实验室体系下运营联邦研发中心的智库）打造，2015年对外发布，如今已是全球安全行业的事实标准。 **它到底长什么样？** 打开官网 attack.mitre.org，你会看到一张巨大的表格，行业里叫“矩阵”。以覆盖企业环境（Windows、macOS、Linux、云、容器、网络设备等）的 Enterprise 矩阵为例，横向是**战术（Tactic）**——黑客“想干什么”，按攻击的时间顺序排成一条链；纵向每个战术下面是**技术（Technique）**——黑客“具体怎么干”；技术下面还能再拆**子技术（Sub-technique）**；每个技术词条里还记录了哪些真实团伙用过（他们叫“组织 Groups”和“软件 Software”），并附上防御建议（缓解措施）和检测思路。 以最新 v19 版为例，Enterprise 矩阵共有15个战术阶段、250多个技术，子技术上千个。15个战术连起来，就是一条完整的“犯罪链”： - **侦察**：踩点，上网搜你公司的员工邮箱、技术架构 - **资源开发**：备工具，注册假域名、买服务器、开发恶意软件 - **初始访问**：进门，发钓鱼邮件、找系统漏洞闯入 - **执行**：动手，诱导你点开附件、运行恶意代码 - **驻留**：安家，设置开机自启，重启也不消失 - **权限提升**：升级，从普通账户变成管理员 - **隐身（Stealth）**：伪装，把恶意文件藏起来、伪装成正常程序 - **瘫痪防御（Defense Impairment）**：拆监控，关掉杀毒软件、清空日志 - **窃取凭证**：配钥匙，偷密码、偷数字证书 - **发现**：摸底，查看你网络里还有哪些值钱目标 - **横向移动**：串门，从一台电脑跳到另一台 - **收集**：装箱，把数据和文件打包 - **命令与控制**：遥控，被感染的电脑接收远端同伙指令 - **外传**：运赃，把偷到的数据悄悄送出公司 - **影响**：撕票，加密文件勒索赎金、篡改数据 **它解决什么问题？** 在ATT&CK出现之前，安全圈各有各的说法：甲厂商报告里写“检测到可疑行为A”，乙厂商写“拦截威胁B”，大家鸡同鸭讲。ATT&CK统一了语言——大家都按同一套编号说“这波攻击用了T1566钓鱼、T1486加密勒索”，报告能对齐、产品能比较、演练能打分。它是纯防守视角的公共知识库：**不教人怎么攻击，只教防守方看懂攻击**，全部免费开放。 --- ## 第二节：为什么最近这么火？ **第一，v19大改版，安全圈十年一遇的结构调整。** 2026年4月底发布的ATT&CK v19，做了一件轰动安全社区的事：服役多年的老牌战术“防御规避（Defense Evasion）”正式退役，拆成了两个更清晰的新战术——**Stealth（隐身）**，管的是“把自己藏起来”（隐藏文件、伪装进程、rootkit）；**Defense Impairment（瘫痪防御）**，管的是“把防守方的工具搞残”（关闭防火墙、清空安全日志、削弱加密）。以前这两类招数混在一栏，防守方梳理检测规则时经常纠结；拆开后“藏自己”和“拆监控”泾渭分明。 **第二，AI攻击手法首次成建制入册。** 最新矩阵里你能看到这些新词条：侦察阶段的“查询公共AI服务”（黑客用ChatGPT这类工具套取目标情报）、资源开发阶段的“获取能力：人工智能”（把AI当攻击工具采购）、“生成内容”（用AI批量生成钓鱼话术和假音视频）、用户执行阶段的“恶意图像”“恶意复制粘贴”。AI时代的攻击套路，正在被这套档案逐条记录归档。 **第三，发布节奏变快了。** 过去ATT&CK一年更新两次，慢工出细活；但2026年攻击活动跑得太快，MITRE在8月6日启用了全新的“敏捷发布（Agile release）”模式，在常规版本之间插播紧急更新。首次敏捷更新（v19.2）就收录了窃取数据进行倒卖勒索的犯罪团伙ShinyHunters、发动蠕虫式供应链攻击的Shai-Hulud等热点威胁。档案库开始“追热搜”了。 **第四，它无处不在。** 你会注意到，安全厂商发布产品必提“ATT&CK覆盖度”，安全媒体复盘重大攻击事件按ATT&CK编号逐步拆解，企业招聘安全运营工程师笔试里就有它。10月底行业大会ATT&CKcon还将举办，这个诞生于2015年的框架，热度正处在新高点上。 --- ## 第三节：一张图看懂 **图一：把黑客攻击想成“小偷作案全流程”**——ATT&CK的15个战术就是这条链的每一步： ```mermaid flowchart TD A[准备踩点
侦察目标 备好工具] --> B[进门
初始访问 钓鱼开路] B --> C[落地
执行恶意程序] C --> D[安家
驻留 开机自启] D --> E[升级
提权 拿管理员权限] E --> F[隐身与拆防
藏好痕迹 关掉杀毒] F --> G[找值钱货
摸清家底 偷密码] G --> H[串门
横向移动 扩大战果] H --> I[打包赃物
收集数据] I --> J[遥控与运赃
联络同伙 数据外传] J --> K[图穷匕见
影响 加密勒索] ``` 防守方做的事，就是在这条链的**每一站布监控**：进门前拦邮件、执行时查程序、外传时看流量。链条越早发现，损失越小。 **图二：档案的四层结构**——像图书馆分类，越查越细： ```mermaid flowchart TD T[战术
想干什么 比如窃取凭证] --> P[技术
用什么手段 比如翻密码库] P --> S[子技术
具体手法 比如翻浏览器存的密码] S --> R[实战记录
哪个团伙干过 怎么防怎么查] ``` --- ## 第四节：和我有什么关系？ **如果你是普通人：** 一是看懂新闻——以后刷到“某公司遭勒索软件攻击”的报道，报道里的攻击步骤（钓鱼入侵→关杀毒→加密文件）其实就是ATT&CK链路上的几步，你一眼就能看懂事态；二是看懂广告——安全软件宣传“覆盖ATT&CK 90%技术”不必迷信，覆盖率不等于防护力，但至少说明这家厂商说的是“行话”；三是保护自己——攻击链的第一环往往是“人”，不点陌生附件、不扫来路不明的二维码，你就掐断了链条最便宜的一环。 **如果你是从业者：** 这是安全岗位的“普通话”。SOC分析师（安全监控值班员）按ATT&CK写检测规则，红队（扮演攻击者的安全测试人员）按ATT&CK规划演练动作，威胁情报团队按ATT&CK归纳团伙画像。官网全部免费，还有个叫ATT&CK Navigator的开源工具，能把矩阵做成热力图标出自家防护盲区。零基础入行安全，从通读这套矩阵开始性价比极高。 **如果你是投资者：** ATT&CK是给安全行业“定尺子”的存在。尺子一出，就有了可比性：XDR（扩展检测响应）、SIEM（安全日志分析平台）等产品的宣传围绕覆盖度展开，还催生了BAS（入侵与攻击模拟）这类新赛道——专门自动验证“你家产品到底能拦住矩阵里的哪几招”。看懂这把尺子，再看安全厂商的路演材料，就能分辨谁是真功夫、谁是念PPT。 --- ## 第五节：一分钟总结 1. ATT&CK是MITRE机构2015年起免费开放的“黑客手法百科全书”，把攻击拆成战术（目的）→技术（手段）→子技术（细节）三层编号。 2. 最新v19版有15个战术、250多个技术，覆盖企业、移动、工控三大场景，还附防御与检测建议。 3. 2026年它干了三件大事：防御规避战术拆分为“隐身”+“瘫痪防御”、AI攻击手法入册、启用敏捷发布模式追热点威胁。 4. 它是安全行业的“普通话”：厂商比对产品、企业做攻防演练、媒体复盘事件都用同一套语言。 5. 对个人而言，看懂它=看懂安全新闻和产品广告；对从业者，它是免费的入行地图。 --- ## 延伸阅读 - **网络杀伤链（Kill Chain）**：ATT&CK的“前辈”，把攻击分为7个阶段，更粗线条，适合理解“御敌于国门之外”的思想。 - **威胁情报IOC**：失陷指标，如恶意IP、文件哈希——如果说ATT&CK记录的是“招式”，IOC就是“凶器照片”，两者配合使用（本栏此前已解读）。 - **BAS入侵与攻击模拟**：用自动化工具按ATT&CK矩阵“考试”，检验自家安全产品到底是学霸还是学渣。 ## 参考来源 1. [MITRE ATT&CK官方网站](https://attack.mitre.org/) — 官方定义、Enterprise矩阵最新15战术结构与平台覆盖。 2. [ATT&CK官方Updates更新页](https://attack.mitre.org/resources/updates/) — v19.2敏捷发布（2026年8月6日）收录ShinyHunters、Shai-Hulud等威胁的官方说明。 3. [ATT&CK Enterprise矩阵页](https://attack.mitre.org/matrices/enterprise/) — 战术/技术/子技术完整清单及“查询公共AI服务”等AI新词条。 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。