analyzing-threat-actor-ttps-with-mitre-navigator

使用 MITRE Navigator 分析威胁行为者 TTP

概述

MITRE ATT&CK Navigator 是一个用于注释和可视化 ATT&CK 矩阵的 Web 应用程序。结合 attackcti Python 库（通过 TAXII 查询 ATT&CK STIX 数据），分析师可以编程生成特定威胁组织 TTP 的 Navigator 层文件，比较多个组织，并评估针对已知对手的检测覆盖差距。

使用场景

• 调查需要分析威胁行为者 TTP 的安全事件时
• 为此领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要此类分析的结构化流程时
• 验证相关攻击技术的安全监控覆盖范围时

前提条件

• Python 3.8+，并安装 attackcti 和 stix2 库
• MITRE ATT&CK Navigator（Web 界面或本地实例）
• 了解 STIX 2.1 对象及关系

步骤

1. 使用 attackcti 查询目标威胁组织的 ATT&CK STIX 数据
2. 通过 STIX 关系提取与该组织关联的技术
3. 生成带有技术注释的 ATT&CK Navigator 层 JSON
4. 叠加检测覆盖数据以识别差距
5. 导出层文件用于团队评审和防御规划

预期输出

{
  "name": "APT29 TTPs",
  "domain": "enterprise-attack",
  "techniques": [
    {"techniqueID": "T1566.001", "score": 1, "comment": "鱼叉式附件"},
    {"techniqueID": "T1059.001", "score": 1, "comment": "PowerShell"}
  ]
}