使用 MITRE Navigator 分析威脅行為者 TTP

使用 MITRE Navigator 分析威脅行為者 TTP 是做什麼的？

概述

MITRE ATT&CK Navigator 是一個用於註記與視覺化 ATT&CK 矩陣的網頁應用程式。搭配 attackcti Python 函式庫（透過 TAXII 查詢 ATT&CK STIX 資料），分析師可以程式化地產生對應特定威脅群體 TTP 的 Navigator 圖層檔案、比較多個群體，並評估針對已知敵人的檢測覆蓋缺口。

使用時機

• 當調查安全事件，需要分析威脅行為者 TTP 時
• 當為此領域建立檢測規則或威脅狩獵查詢時
• 當 SOC 分析師需要此分析類型的結構化程序時
• 當驗證相關攻擊技術的安全監控覆蓋率時

先決條件

• Python 3.8+，並安裝 attackcti 與 stix2 函式庫
• MITRE ATT&CK Navigator（網頁 UI 或本地實例）
• 了解 STIX 2.1 物件與關係

步驟

1. 使用 attackcti 查詢目標威脅群體的 ATT&CK STIX 資料
2. 透過 STIX 關係提取與該群體相關的技術
3. 產生含有技術註記的 ATT&CK Navigator 圖層 JSON
4. 疊加檢測覆蓋率以識別缺口
5. 匯出圖層供團隊審查與防禦規劃

預期輸出

{
  "name": "APT29 TTPs",
  "domain": "enterprise-attack",
  "techniques": [
    {"techniqueID": "T1566.001", "score": 1, "comment": "魚叉式網路釣魚附件"},
    {"techniqueID": "T1059.001", "score": 1, "comment": "PowerShell"}
  ]
}