看懂 MITRE ATT&CK：把通報裡的 T 編號，變成你的偵測與防禦清單

ATT&CK 是什麼：戰術、技術、子技術與程序

CISA 與 MITRE ATT&CK 團隊合作撰寫的對照指引，把 ATT&CK 描述的攻擊行為分成四個層級，越往下越具體^[2]：

• 戰術（Tactic）：攻擊者「為什麼」做這個動作，也就是當下想達成的目標，例如取得帳密。
• 技術（Technique）：攻擊者「怎麼」達成目標，例如傾印（dump）作業系統裡的帳密。
• 子技術（Sub-technique）：技術底下更細的做法，例如從 LSASS 記憶體取出帳密；子技術常和特定作業系統或平台有關，也不是每個技術都有子技術。
• 程序（Procedure）：某個攻擊者實際怎麼做，例如用了哪些工具、下了哪些指令。

指引也提醒，ATT&CK 不是一條由左到右的直線流程：攻擊者不一定用到所有戰術，也可能先把資料傳出去，再回頭建立更多持續性機制^[2]。ATT&CK 依技術領域分成企業（Enterprise）、行動裝置（Mobile）與工業控制系統（ICS）三個矩陣^[3]；一般企業 IT 環境對應的是企業矩陣，涵蓋 Windows、Linux、macOS、網路設備、容器與雲端服務^[2]。

編號怎麼讀

以 T1566.001 為例：T1566 是「網路釣魚」（Phishing）技術，.001 是它的子技術「魚叉式釣魚附件」（Spearphishing Attachment），歸在「初始存取」（Initial Access）戰術之下；同一個技術另有釣魚連結、透過第三方服務與語音釣魚三個子技術^[4]。打開技術頁面，還會看到其他幾種編號^[4]：

• TA 開頭是戰術：例如 TA0001 初始存取。
• 程序範例（Procedure Examples）：列出實際觀察到的用法，來源包括組織（G 開頭，例如 G0018 admin@338）、軟體（S 開頭，例如惡意程式 S0331 Agent Tesla）與行動（C 開頭，例如 C0028「2015 年烏克蘭電力攻擊」）。
• 緩解措施（M 開頭）：T1566.001 列出的包括 M1054 軟體設定（以 SPF、DKIM 與 DMARC 驗證寄件網域）、M1017 使用者訓練等，設定方式見SPF、DKIM、DMARC 部署指南。
• 偵測策略（DET 開頭）：底下再分成各平台的分析方法（AN 開頭），後文會用實例說明。

ATT&CK 所說的「組織」（Group），是資安社群以共同名稱追蹤的活動群集。不同單位常用不同名稱追蹤相似的活動，彼此的定義可能只部分重疊，ATT&CK 會把已知的對應名稱列為「關聯組織」^[5]。

目前版本：v20，以及近兩年的三個結構變動

截至 2026 年 11 月，最新的主要版本是 2026 年 10 月 13 日發布的 ATT&CK v20，之後另有修正版 v20.1。企業矩陣有 15 個戰術、227 個技術與 479 個子技術，整個知識庫收錄 182 個組織、971 個軟體與 61 個行動；這一版也新增了以 AI 為攻擊對象或利用 AI 的技術^[3]。近兩年有三個變動，會直接影響你怎麼讀舊通報、怎麼用舊工具：

1. 偵測改用「偵測策略」表示：2025 年 10 月的 v18 把技術頁面上的偵測說明換成偵測策略（Detection Strategies）與分析方法（Analytics），大幅更新資料元件（Data Components），並棄用原本的資料來源（Data Sources）^[6]。v20 的企業矩陣共有 703 個偵測策略與 1,770 個分析方法^[3]。
2. 「防禦規避」拆成兩個戰術：2026 年 4 月的 v19 把企業矩陣的 Defense Evasion 拆成「隱匿」（Stealth）與「防禦削弱」（Defense Impairment）^[7]。編號要特別留意：TA0005 現在的名稱是「隱匿」，「防禦削弱」是新的 TA0112^[8]。舊通報寫的「TA0005 Defense Evasion」，在現行網站上查到的會是 Stealth。
3. 部分技術被取代：同樣在 v19，T1562「削弱防禦」（Impair Defenses）等技術被「停用或修改工具」（Disable or Modify Tools）取代^[7]；在 ATT&CK 網站開啟 T1562，會被轉到新編號 T1685 的頁面。

讀懂通報裡的 ATT&CK 對照：以 BlackTech 聯合公告為例

2023 年 9 月，美國 NSA、FBI、CISA 與日本警察廳、NISC 針對 BlackTech 發布聯合公告 AA23-270A，內文標注了 ATT&CK 編號，附錄也有完整的對照表^[9]。MITRE ATT&CK 記錄這個組織主要攻擊東亞（特別是台灣、日本與香港）與美國的組織^[10]，很適合拿來練習。讀這類表格，可以依序看五件事：

• 先看版本：公告開頭註明使用 ATT&CK for Enterprise 13.1 版^[9]。版本決定了戰術名稱與編號，13.1 版還沒有 v19 的戰術拆分。
• 內文的方括號：敘述中直接標注編號，例如攻擊者停用日誌 [T1562]，並濫用網域信任關係 [T1199]，在海外子公司與本國總部的網路之間轉移^[9]。這正是 CISA 建議的寫法：編號緊貼著描述行為的句子，讀者同時看得到「做了什麼」與「對應哪個技術」^[2]。
• 附錄的對照表：表 2 到表 9 依戰術分成 8 張表，欄位是技術名稱、編號與用途（Use）^[9]。「用途」欄才是重點，它說明攻擊者在這次行動裡具體怎麼用這個技術，例如 T1542.004 這一列寫的是「修改路由器韌體以維持持續性」；CISA 也建議發布單位把這一欄寫到讀者看得懂對照的理由^[2]。
• 只有戰術編號的列：有些列只寫戰術，例如「TA0001 初始存取：利用路由器取得受害者網路的存取」^[9]。CISA 指引說明，只有在細節不足、無法判斷技術時才停在戰術層級，而光有戰術的對照不足以拿來設計偵測^[2]。看到這種列，要回內文找細節，找不到就當作資訊缺口。
• 對照現行版本：表 6 的標題是「Defense Evasion」，裡面的 T1562 在現行版本已被取代。拿舊公告建立偵測清單前，逐一在 ATT&CK 網站開啟每個編號，確認目前的名稱、所屬戰術、緩解措施與偵測策略；自己的偵測規則若標了 ATT&CK 編號，也要在新版發布後檢查一次。

這份公告也說明了為什麼行為比 IOC 耐用：發布機關指出，BlackTech 要修改後門裡的數值、讓這個路由器後門的特定特徵碼失效，是輕而易舉的事；比較可靠的偵測，是監控網路設備未經授權下載開機程式與韌體映像檔，以及異常的重新開機^[9]。這就是 IOC 與 TTP（戰術、技術與程序）的差別：雜湊值、IP、網域換掉幾乎不花成本，但「竄改路由器韌體」這個行為，攻擊者要換就得改寫工具或改變做法。IOC 的比對方法與「痛苦金字塔」見如何使用通報中的 IOC 比對自己的環境；BlackTech 等國家級組織的手法與防護重點見國家級駭客（APT）。

把 ATT&CK 用在自己的環境

先挑出和你有關的組織與技術

企業矩陣的技術與子技術加起來有數百個，不可能一次全部顧到。比較務實的起點，是挑出可能鎖定你所在地區或產業的組織。ATT&CK 組織頁面中明確提到台灣的例子包括^[5]：

• BlackTech（G0098）：主要攻擊東亞（特別是台灣、日本與香港）與美國，對象包括媒體、營建、工程、電子與金融業者^[10]。
• Chimera（G0114）：至少自 2018 年起活動，鎖定台灣半導體產業，也竊取航空業資料。
• Tropic Trooper（G0081）：針對台灣、菲律賓與香港，聚焦政府、醫療、交通與高科技產業，自 2011 年起活動。
• Tonto Team（G0131）：主要攻擊南韓、日本、台灣與美國，對象涵蓋政府、軍事、能源、礦業、金融、教育、醫療與科技組織。

每個組織頁面都列出它使用過的技術，並可下載或直接開啟對應的 Navigator 圖層^[10]。把幾個相關組織的圖層疊在一起，重複出現的技術就是優先處理的候選。再依自己的環境篩選：例如沒有 macOS 的公司，可以用 Navigator 的平台篩選器排除只適用於 macOS 的技術^[11]。最後補上近期通報中出現、而且你的環境也用得到的技術，例如你用的 VPN 或防火牆廠牌被點名時，對應的初始存取技術就該往前排。

用 Navigator 畫出偵測覆蓋率

ATT&CK Navigator 是 MITRE 提供的矩陣標註工具，可以呈現防禦覆蓋率、紅藍隊規劃或偵測到的技術頻率；核心概念是「圖層」，可以替每個技術上色、評分、加註解^[11]。圖層之間也能運算，例如把兩個組織的圖層分數相加，或用 and、or、not 等條件式產生新圖層；但只有同一個技術領域、同一個 ATT&CK 版本的圖層才能合併^[11]。實務上可以準備三個圖層：

1. 威脅圖層：相關組織使用的技術，加上近期通報中出現的技術。
2. 覆蓋率圖層：依實際狀況評分，例如 0 代表完全看不到、1 代表有日誌但沒有規則、2 代表有規則、3 代表規則已經過測試。
3. 差距圖層：由前兩個圖層運算而來，找出「威脅圖層有、覆蓋率偏低」的技術，就是你的偵測待辦清單。這幾個圖層等於一份防禦缺口清單，存放與分享都要比照機密資料處理。

檢查日誌撐不撐得起偵測

偵測策略會寫出偵測需要哪些資料。以 T1566.001 的偵測策略 DET0236 為例，它依 Windows、Linux、macOS 分成三個分析方法。Windows 版的做法是串連「收到附件來自可疑或偽冒寄件者的郵件 → 附件寫入磁碟 → 異常的程序執行（例如 Office 啟動 PowerShell 或 CMD）→ 對外連線」，需要 Microsoft 365 的郵件收發紀錄，以及 Sysmon 的檔案建立（事件 11）、程序建立（事件 1）與網路連線（事件 3、22）紀錄^[12]。頁面也列出需要依環境調整的參數，例如要監控的高風險副檔名、可疑的父子程序組合，以及關聯事件的時間範圍^[12]。

拿這份清單對照自己的環境：郵件紀錄有沒有開、保存多久？端點有沒有 Sysmon 或 EDR，程序紀錄有沒有送進 SIEM？任何一項缺了，這個偵測策略就無法完整實作，覆蓋率圖層上這一格就不該算數。日誌的優先順序與保存期間見日誌該記什麼、要保存多久，偵測工具與服務的分工見EDR、XDR、SIEM、SOC 與 MDR。其他文章也用了同樣的對照方式，例如AD 與特權帳號防護引用了 DCSync 的偵測策略，資訊竊取程式說明了 T1539 竊取工作階段 Cookie。

用紫隊測試驗證

規則寫好不等於抓得到。紫隊（purple team）測試由攻擊方實際模擬技術、防守方同步確認告警，是驗證覆蓋率最直接的方式。Atomic Red Team 是由 Red Canary 在 GitHub 上發布、社群共同開發的開源測試庫，每個測試都對應到 ATT&CK 技術，讓資安團隊可以快速、可攜且可重現地測試自己的環境^[13]。測試依 ATT&CK 技術編號分資料夾存放，內容包括前置條件、攻擊指令與清除指令；官方說明也提醒，執行前一定要取得環境負責人的同意，最好準備一台與正式環境組態相同的測試機並開啟防護軟體；部分測試會變更系統設定，結束後要執行清除指令還原^[14]。測試後記錄防護軟體收到了什麼，再用這些結果改善偵測^[14]；只有實際觸發過、內容足以讓值班人員判斷的告警，才能在覆蓋率圖層上記為「已驗證」。

自己寫對照：CISA 的 ATT&CK 對照最佳實務

事件調查報告、內部威脅情資或演練紀錄要標注 ATT&CK 時，可以參考 CISA 的《Best Practices for MITRE ATT&CK Mapping》。這份指引 2021 年 6 月首次發布，2023 年 1 月改版為 2.0 版，改版時引用的是 ATT&CK v12（當時企業矩陣有 14 個戰術）^[2]；方法仍然適用，但戰術名稱、資料來源等用語要對照現行版本。指引建議的步驟是^[2]：

1. 找出並研究行為：重點不是找 IOC，而是攻擊者怎麼和系統互動、怎麼進來、進來後做了什麼、是否濫用系統內建功能；資訊不夠時回到原始報告與其他來源補足脈絡。
2. 判斷戰術：問攻擊者「為什麼」這樣做，是要竊取資料、破壞資料，還是提升權限。
3. 找出技術：把行為和該戰術底下的技術描述比對。同一個行為可以同時對應多個技術，例如走 8088 埠的 HTTP 指揮控制流量，同時對應「非標準連接埠」（T1571）與「應用層協定：網頁協定」（T1071.001）。
4. 找出子技術：仔細讀子技術的說明；資訊不足時就停在上一層技術，不要猜。

指引也整理了三種常見錯誤^[2]：

• 跳到結論：證據不足就下判斷，例如看到惡意程式使用 80 或 443 埠，就對應到網頁協定，卻沒有確認它真的使用 HTTP 或 HTTPS。
• 遺漏：沒想到一個行為可能對應多個技術，例如經由外部 VPN 進入環境對應「外部遠端服務」（T1133），若有資訊顯示攻擊者濫用了合法帳密，還可能要對應「有效帳號」（T1078）。
• 分類錯誤：誤解相近技術的差別，例如把惡意程式刪除任意檔案的能力歸成「資料銷毀」（T1485），而不是「清除痕跡：刪除檔案」（T1070.004）。

常見誤區與相關框架

常見誤區

• 上了色不代表擋得住：Navigator 讓使用者自由決定顏色與分數代表什麼^[11]。一格綠色可能只代表「買了某項產品」或「寫過一條規則」，不代表那條規則收得到日誌、在每個平台都有效，或真的會觸發。每個分數都要寫清楚依據，並以測試結果為準。
• 一個技術往往需要多個偵測：光是 T1566.001 這一個子技術，偵測策略就分成三個平台的分析方法，每個都要串連三到四種紀錄^[12]；T1566 底下還有連結、第三方服務與語音等其他子技術^[4]，擋住附件不代表擋住連結。覆蓋率要記到子技術與平台的層級。
• 廠商的覆蓋率宣稱要驗證：聽到「涵蓋 ATT&CK 多少技術」時，要問清楚是哪個 ATT&CK 版本、涵蓋到子技術還是只到技術、支援哪些平台、需要哪些日誌來源，並在概念驗證時用自己的環境實測告警是否出現。
• 不是每個技術都一樣重要：CISA 指引提醒，對照所依據的公開報告本身有偏誤，例如新奇的手法比較常被報導、每個發布單位只看得到部分技術、某些類型的受害者比較常被報導，而且不是所有攻擊行為都收錄在 ATT&CK 裡^[2]。依自己的產業、平台與實際遇過的事件排序，不必追求把整張矩陣塗滿。

相關框架：D3FEND 與 ATLAS

• MITRE D3FEND：資安防禦對策的知識圖譜，把防禦技術分成建模（Model）、強化（Harden）、偵測（Detect）、隔離（Isolate）、欺敵（Deceive）、驅逐（Evict）與復原（Restore）等類別，並可從 ATT&CK 技術查到相關的防禦技術。網站目前標示的版本為 1.6.0，對照的 ATT&CK 技術已採用 v19 之後的新編號，例如 T1685^[15]。
• MITRE ATLAS：以戰術、技術與案例研究的格式，整理針對 AI 系統與模型的攻擊手法；2026 年 10 月 28 日發布的 v2026.10 資料版本包含 16 個戰術、129 個技術與 77 個案例研究^[16]。導入生成式 AI 時的風險見生成式 AI 的資安風險。

行動清單

• 讀通報時先記下它使用的 ATT&CK 版本，逐一在 attack.mitre.org 開啟表中的編號，確認目前名稱、所屬戰術，以及是否已被取代。
• 從 ATT&CK 組織頁面挑出 3 到 5 個鎖定台灣或你所在產業的組織，下載它們的 Navigator 圖層，疊出優先技術清單。
• 建立覆蓋率圖層，每個技術依「看不到／有日誌／有規則／已測試」評分，並記下評分依據與 ATT&CK 版本。
• 針對優先技術打開偵測策略頁面，列出需要的日誌來源，對照實際收得到哪些、保存多久；先補上缺少的關鍵紀錄（例如端點程序建立與郵件紀錄），再撰寫或調整偵測規則。
• 每季挑幾個優先技術做紫隊測試：先取得授權、在測試機上執行、事後執行清除指令，並把結果回填圖層。
• 評估 EDR、SIEM 或 MDR 時，要求廠商說明涵蓋哪些子技術與平台、需要哪些日誌，並在概念驗證中實測。
• 內部事件報告與演練紀錄依 CISA 指引標注 ATT&CK 編號，讓日後比對通報、分析趨勢有共同語言。
• 訂閱通報，新公告出現時用同一套流程更新威脅圖層；想請外部協助盤點偵測能力，可參考資安健檢服務。