ATT&CK作為近幾年最火的攻防框架，對于安全行業實際檢測的指導性價值日益凸顯。8月13日，第八屆互聯網安全大會(ISC 2020)的技術日正式啟動，備受專業人士矚目的ATT&CK安全能力衡量分論壇如期而至。ATT&CK覆蓋的攻防技術非常龐雜和具體，大概有300項技術點，如何體系化了解其中的攻擊方案，并基于網絡空間安全攻防全景知識庫框架，相應提出其防御方案是亟需當下網絡安全行業重點解決的問題，這場論壇恰好為這些問題提供了答案。

　　出席本場論壇的嘉賓有來自青藤云安全COO程度、360政企安全能力評估中心負責人林聚偉、安天科技集團安全研究員侯方勇、360靈騰安全實驗室成員戴志斌，他們圍繞“ATT&CK高頻攻擊技術的分析與檢測” “基于ATT&CK的安全能力評估與改進實踐”“威脅框架的端點安全實踐” “全補丁環境下的域內攻防對抗”等議題展開技術探討與激烈的思維碰撞。

　　在網絡安全領域，隨著攻擊工具、方法的逐漸升級和復雜化，安全數據的大規模融合，攻防對抗愈加激烈。安全團隊正在從浩瀚數據中發現高級威脅的蛛絲馬跡，把網絡安全專家的經驗、知識有效轉化為可復制可擴展的數據分析能力。

　　(青藤云安全COO程度)

　　青藤云安全COO程度在演講中系統介紹了ATT&CK高頻攻擊技術TOP5、以CARET為代表的攻擊檢測技術方法論等干貨。同時，結合自身研究和實踐經驗，總結了ATT&CK框架中最高頻和最具代表性五大攻擊技術(Valid Account、Powershell、Masquerading、Credential Dumping、Scheduled Task)，通過對攻擊技術概念、攻擊技術復現和檢測分析三個維度的講解，使大家全面了解針對ATT&CK攻擊研究的三大常規步驟。

　　以Valid Account 攻擊介紹為例，程度指出攻擊者會使⽤利⽤漏洞獲取憑證訪問的權限技術來竊取⼀個特定⽤戶或服務賬戶的⽤戶名密碼或憑證，或者是通過社會⼯程學偵查獲得特定⽤戶或服務賬戶的⽤戶名密碼或證書，從⽽獲得初始訪問的權限。攻擊者可能使⽤的賬戶分為三類：默認賬戶、本地賬戶和域賬戶。他基于一個Valid Account攻擊過程復現，向大家展示了如何針對此類攻擊，收集“異常登錄”、“賬號變更”等數據源，追蹤異常黑客的異常活動，檢測潛在威脅。

　　程度總結，要實現ATT&CK高頻攻擊技術的檢測，需要利用一些平臺工具方可實現。首先，需要能夠收集到高質量的數據;其次，還需要能夠解決異構數據源頭的連接問題。最后，還需要一個強大分析引擎，能夠支持復雜的分析算法，此外還需要一個靈活的分析員。

　　(360政企安全能力評估中心負責人林聚偉)

　　360政企安全能力評估中心負責人林聚偉基于ATT&CK的安全能力評估與改進實踐展開演講，林聚偉表示，安全運營面臨一些挑戰，例如當前安全防御體系有效性如何;如何確定安全投資建設的優先級;能否將攻防演練的實戰經驗用以持續提升安全防御系統，在“戰時”運維人力和廠商安全服務回歸“平時”后依然能有效應對“常態化”攻擊。這些挑戰，本質是無法衡量。那么，究竟有沒有辦法衡量防御體系應對攻擊的有效性?實踐是檢驗真理的唯一標準，相信大家的第一個想法就是攻防演練。確實，不少企業也組織了紅藍對抗，但這樣的對抗是否全面?是否覆蓋了當前流行的攻擊行為?對于未覆蓋的點是否有記錄并持續推動縱深防御體系改進?相信能做到的很少，其根源是缺乏框架和標準。MITRE ATT&CK 模型和知識庫解決了這個問題。

　　基于ATT&CK框架和知識庫設計符合自身需求的防御場景，可以有效評估安全防御體系，入侵者模擬正是基于這樣的思路而設計的，可以模擬各種安全場景，以此衡量這些安全挑戰應對的狀態。入侵者模擬提供自動化模擬攻擊與安全設備評估，模擬攻擊使用自研無損的payload。這些模擬攻擊既基于ATT&CK自上而下進行安全設備評估，也基于應急響應自下而上進行安全設備評估。

　　(安天科技集團安全研究員侯方勇)

　　端點是網絡攻防戰中的主戰場。安天科技集團安全研究員侯方勇著重講解了威脅框架的端點安全核心能力，侯方勇表示，以 MITRE ATT&CK 為代表的威脅框架是迄今最有實用性、最具實戰價值的高級威脅分析手段。

　　據侯方勇介紹，端點防護作為防御的最后一道防線，應具有以下能力：第一，應具有合理的架構安全體系，增強安全運維能力，以減少被攻擊面;第二，具有足夠縱深的主動防御能力，才能夠在多個環節逐步抵消威脅;第三，具有全面的信息采集與分析能力，以便發現常規防御手段無法發現的威脅。

　　侯方勇認為，威脅框架使我們對端點主動防御和數據采集的能力指標有了更清晰認知和衡量標準，我們應以威脅框架為科學指引，在實踐中不斷積累經驗、提高認知、優化產品，打贏端點主戰場的網絡攻防戰。

　　(360靈騰安全實驗室成員戴志斌)

　　隨著對抗的升級，域安全在紅藍對抗中越來越重要。360靈騰安全實驗室成員戴志斌表示，域控網絡權限廣，網絡憑據多，能夠集權管理機器，在攻擊眼里即便不是靶標也是關鍵節點。此外，域控不可或缺，作為信息化設備的統一管理認證，是多數企業的必備基礎架構。

　　針對域內的滲透測試，很多人還停留在打歷史漏洞的階段，相應的安全防護還停留在打補丁上。那么全補丁環境下的域是否絕對安全?戴志斌通過從信息收集、橫向移動、權限提升三個安全維度，針對在全補丁環境下域內的攻擊方式進行講解并相應提出其防御方案。

　　正如醫療行業中治療疑難雜癥依賴醫療專家，網絡空間高級威脅的防護和處置也依賴安全專家的經驗與知識。或許這也正是本場ATT&CK安全能力衡量論壇的意義所在，這些經驗豐富的網絡安全從業者們將最前沿、最先進的知識與理念與大家分享，并試圖將對抗高級威脅的技巧逐步升級為權威的科學指南。