威胁情报基础 — IOC、TTPs 与 MITRE ATT&CK 框架

Published:
• 15 min read

在网络安全防御体系中，“知己知彼，百战不殆”的古训同样适用。威胁情报（Threat Intelligence）作为安全防御的前哨，为组织提供了关于潜在威胁的关键洞察。它不仅帮助安全团队理解攻击者的动机、能力和基础设施，更能将被动防御转化为主动防御。本文将系统介绍威胁情报的核心概念，包括 IOC（失陷指标）、TTPs（战术、技术与过程），以及业界最重要的知识框架 — MITRE ATT&CK，帮助读者构建完整的威胁情报知识体系。

威胁情报的定义与分级

威胁情报是经过收集、处理和分析的，与网络安全威胁相关的信息。它不是简单的数据堆砌，而是经过上下文丰富化（Contextualization）后具备可操作性的情报。

根据受众和用途不同，威胁情报通常分为四个层级：

战略情报（Strategic Intelligence）：面向高管和决策层，关注宏观威胁趋势、地缘政治风险和行业威胁态势。通常以报告、白皮书形式呈现，帮助制定安全投资方向。例如：“2025 年国家级 APT 组织对金融行业的攻击活动增长了 40%”。

战术情报（Tactical Intelligence）：面向安全架构师和安全管理者，描述攻击者使用的 TTPs。帮助安全团队理解攻击者的行为模式，优化安全架构和检测策略。例如：“APT29 近期大量使用 ISO 文件钓鱼结合 DLL 侧加载技术绕过邮件网关”。

运营情报（Operational Intelligence）：面向安全运营团队（SOC），提供特定攻击活动或威胁行为者的详细信息，包括攻击时间窗口、攻击目标和具体行动方案。帮助团队做出快速的事件响应决策。

技术情报（Technical Intelligence）：面向安全分析师和安全设备，提供具体的失陷指标（IOC），如恶意 IP 地址、域名、文件哈希等。通常以机器可读格式提供，可直接导入安全设备进行自动化检测和拦截。

IOC — 失陷指标详解

IOC（Indicators of Compromise，失陷指标）是威胁情报中最基础也是最常用的元素。它们是安全事件发生后留下的可观测痕迹，帮助安全团队判断系统是否已经遭到入侵。

常见 IOC 类型

IP 地址：恶意 C2（Command and Control）服务器的 IP 地址是最常见的 IOC。需要注意的是，攻击者经常更换基础设施，IP 类 IOC 的时效性通常较短。

域名：攻击者注册的恶意域名、DGA（域名生成算法）生成的域名，以及被攻陷后用于中继的合法域名。域名类 IOC 通常比 IP 更稳定。

文件哈希：恶意样本的 MD5、SHA-1 或 SHA-256 哈希值。哈希类 IOC 精度最高，但攻击者只需修改一个字节就能改变哈希值。

URL：恶意软件下载链接、钓鱼页面地址、C2 通信路径等。URL 类 IOC 包含了比单独域名更丰富的上下文信息。

其他类型：包括恶意邮件的发件人地址、特定的注册表键值、互斥体（Mutex）名称、SSL 证书指纹等。

IOC 查询实战

在实际工作中，安全分析师经常需要查询可疑 IOC 的信誉信息。以下是一些常用的查询方法：

# 使用 VirusTotal API 查询文件哈希
curl -s "https://www.virustotal.com/api/v3/files/44d88612fea8a8f36de82e1278abb02f" \
  -H "x-apikey: YOUR_VT_API_KEY" | jq '.data.attributes.last_analysis_stats'

# 使用 VirusTotal API 查询域名信誉
curl -s "https://www.virustotal.com/api/v3/domains/malicious-example.com" \
  -H "x-apikey: YOUR_VT_API_KEY" | jq '.data.attributes.last_analysis_stats'

# 使用 AbuseIPDB API 查询 IP 信誉
curl -s "https://api.abuseipdb.com/api/v2/check" \
  -H "Key: YOUR_ABUSEIPDB_KEY" \
  -H "Accept: application/json" \
  -d "ipAddress=198.51.100.1&maxAgeInDays=90" | jq '.data'

# 使用 Shodan 查询 IP 相关信息
curl -s "https://api.shodan.io/shodan/host/198.51.100.1?key=YOUR_SHODAN_KEY" | jq '{ip: .ip_str, org: .org, ports: .ports}'

也可以使用 Python 批量查询 IOC：

import requests
import json
import time

VT_API_KEY = "YOUR_VT_API_KEY"
VT_BASE_URL = "https://www.virustotal.com/api/v3"

def query_vt_hash(file_hash):
    """查询 VirusTotal 文件哈希信誉"""
    headers = {"x-apikey": VT_API_KEY}
    url = f"{VT_BASE_URL}/files/{file_hash}"
    response = requests.get(url, headers=headers)
    if response.status_code == 200:
        data = response.json()
        stats = data["data"]["attributes"]["last_analysis_stats"]
        name = data["data"]["attributes"].get("meaningful_name", "Unknown")
        return {
            "hash": file_hash,
            "name": name,
            "malicious": stats.get("malicious", 0),
            "undetected": stats.get("undetected", 0),
            "total_engines": sum(stats.values())
        }
    return {"hash": file_hash, "error": f"HTTP {response.status_code}"}

def batch_query_iocs(hash_list):
    """批量查询 IOC 哈希列表"""
    results = []
    for h in hash_list:
        result = query_vt_hash(h)
        results.append(result)
        print(f"[*] {h[:16]}... => malicious: {result.get('malicious', 'N/A')}")
        time.sleep(15)  # 免费 API 限速: 4次/分钟
    return results

# 示例用法
suspicious_hashes = [
    "44d88612fea8a8f36de82e1278abb02f",  # EICAR 测试文件
    "e3b0c44298fc1c149afbf4c8996fb924",  # 空文件 SHA-256
]

results = batch_query_iocs(suspicious_hashes)

TTPs — 战术、技术与过程

IOC 虽然有用，但它们容易被攻击者更改（更换 IP、重新编译样本）。相比之下，TTPs 描述的是攻击者的行为模式，是”金字塔顶端”最难改变的情报，也被称为 痛苦金字塔（Pyramid of Pain） 模型中价值最高的层级。

理解 TTPs 对安全防御至关重要，因为即使攻击者更换了基础设施和工具，其行为模式（TTPs）通常相对稳定。基于 TTPs 的检测规则比基于 IOC 的规则更持久、更有效。

MITRE ATT&CK 框架详解

MITRE ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）是全球最权威的对手行为知识库，由美国 MITRE 公司基于真实世界观察到的攻击行为构建。

矩阵结构

ATT&CK 框架以矩阵形式组织，横轴为战术（攻击阶段），纵轴为每个战术下的具体技术。目前 Enterprise 矩阵包含 14 个战术阶段：

序号战术 ID战术名称描述
1TA0043侦察 (Reconnaissance)收集目标信息用于规划攻击
2TA0042资源开发 (Resource Development)建立攻击所需的基础设施和资源
3TA0001初始访问 (Initial Access)进入目标网络的第一步
4TA0002执行 (Execution)运行恶意代码
5TA0003持久化 (Persistence)维持在目标环境中的存在
6TA0004权限提升 (Privilege Escalation)获取更高级别的权限
7TA0005防御规避 (Defense Evasion)绕过安全防护措施
8TA0006凭证访问 (Credential Access)窃取账号和密码
9TA0007发现 (Discovery)探索目标环境
10TA0008横向移动 (Lateral Movement)在网络内部移动到其他系统
11TA0009收集 (Collection)收集目标数据
12TA0011命令与控制 (Command and Control)建立远程控制通道
13TA0010数据渗出 (Exfiltration)将数据带出目标网络
14TA0040影响 (Impact)破坏、中断或操纵系统和数据

每个战术下包含数十种技术（Techniques），许多技术还有子技术（Sub-techniques）。例如”钓鱼”（T1566）下有”鱼叉式钓鱼附件”（T1566.001）、“鱼叉式钓鱼链接”（T1566.002）和”通过服务的鱼叉式钓鱼”（T1566.003）。

ATT&CK Navigator 使用

ATT&CK Navigator 是一个 Web 应用，用于可视化 ATT&CK 矩阵并创建自定义覆盖层。安全团队常用它来：

# 本地部署 ATT&CK Navigator
git clone https://github.com/mitre-attack/attack-navigator.git
cd attack-navigator/nav-app
npm install
npm start
# 默认访问 http://localhost:4200

# 也可以使用 Docker 部署
docker pull ghcr.io/mitre-attack/attack-navigator:latest
docker run -p 4200:4200 ghcr.io/mitre-attack/attack-navigator:latest

Navigator 支持通过 JSON 格式导入自定义层（Layer），以下是一个简单的层定义示例：

{
  "name": "APT29 Coverage",
  "versions": {
    "attack": "14",
    "navigator": "4.9",
    "layer": "4.5"
  },
  "domain": "enterprise-attack",
  "description": "APT29 常用技术覆盖图",
  "techniques": [
    {
      "techniqueID": "T1566.001",
      "color": "#ff6666",
      "comment": "鱼叉式钓鱼附件 - 常用初始攻击向量",
      "score": 90
    },
    {
      "techniqueID": "T1059.001",
      "color": "#ff6666",
      "comment": "PowerShell - 主要执行引擎",
      "score": 95
    },
    {
      "techniqueID": "T1053.005",
      "color": "#ffcc00",
      "comment": "计划任务 - 持久化手段",
      "score": 70
    },
    {
      "techniqueID": "T1071.001",
      "color": "#ff6666",
      "comment": "Web协议C2通信",
      "score": 85
    }
  ],
  "gradient": {
    "colors": ["#ffffff", "#ffcc00", "#ff6666"],
    "minValue": 0,
    "maxValue": 100
  }
}

威胁情报平台

MISP（Malware Information Sharing Platform）

MISP 是一个开源的威胁情报共享平台，广泛用于安全社区之间的 IOC 共享和协作分析。

# 使用 Docker 快速部署 MISP
git clone https://github.com/MISP/misp-docker.git
cd misp-docker
cp template.env .env
# 编辑 .env 文件设置密码和域名
docker compose up -d

# 使用 PyMISP 库与 MISP API 交互
pip install pymisp
from pymisp import PyMISP

# 连接 MISP 实例
misp = PyMISP("https://your-misp-instance.local", "YOUR_API_KEY", ssl=False)

# 搜索包含特定 IP 的事件
results = misp.search(value="198.51.100.1", type_attribute="ip-dst")
for event in results:
    print(f"Event: {event['Event']['info']}")
    print(f"  Date: {event['Event']['date']}")
    print(f"  Threat Level: {event['Event']['threat_level_id']}")

# 创建新的威胁情报事件
event = misp.new_event(
    distribution=0,
    threat_level_id=2,
    analysis=1,
    info="Suspicious C2 Activity - Campaign 2025-Q4"
)

# 向事件添加 IOC 属性
misp.add_attribute(event, type="ip-dst", value="198.51.100.50", comment="C2 Server")
misp.add_attribute(event, type="domain", value="evil-c2.example.com", comment="C2 Domain")
misp.add_attribute(event, type="sha256", value="a]" * 32, comment="Malware Sample Hash")

OpenCTI

OpenCTI 是一个现代化的开源网络威胁情报平台，支持 STIX 2.1 标准，提供丰富的可视化和关联分析能力。它可以与 MISP、VirusTotal、AbuseIPDB 等多种数据源集成，自动关联威胁情报数据，构建完整的威胁知识图谱。

安全建议与最佳实践

  1. 建立多源情报订阅体系：不要依赖单一情报源，结合商业情报（Recorded Future、Mandiant）和开源情报（AlienVault OTX、Abuse.ch）形成互补。
  2. 实施情报驱动的安全运营：将 IOC 自动化导入到 SIEM、防火墙和 EDR 中，缩短从情报获取到防护生效的窗口。
  3. 重视 TTPs 层面的检测：投入资源构建行为检测规则，而非仅依赖签名和 IOC 匹配。
  4. 定期开展 ATT&CK 覆盖度评估：使用 Navigator 映射当前检测能力，识别盲区并制定改进计划。
  5. 参与情报共享社区：通过 ISAC/ISAO 或行业联盟分享和获取行业相关威胁情报。
  6. 关注情报的时效性和可信度：建立 IOC 老化机制，及时清理过期指标，避免误报。

总结

威胁情报是现代网络安全防御的核心驱动力。从基础的 IOC 匹配到深层的 TTPs 分析，从单点检测到 MITRE ATT&CK 框架指导下的全面防御覆盖，威胁情报赋予安全团队前所未有的洞察力。掌握威胁情报的分级体系，能够熟练查询和分析 IOC，理解 TTPs 的价值层次，并能运用 ATT&CK 框架评估和提升防御能力 — 这些都是安全从业者在对抗日益复杂的网络威胁时不可或缺的核心技能。建议读者在学习理论的同时，动手部署 MISP 或 OpenCTI 平台，亲身体验威胁情报的采集、分析和应用全流程。

分享到：
分享到QQ 分享到 X 分享到 Telegram 分享到 Facebook