更新时间：2023-09-07 18:52:03
封面
版权信息
作者简介
内容简介
推荐序
推荐语
序言
前言
第一部分 ATT&CK入门篇
第1章 潜心开始MITRE ATT&CK之旅
1.1 MITRE ATT&CK是什么
1.1.1 MITRE ATT&CK框架概述
1.1.2 ATT&CK框架背后的安全哲学
1.1.3 ATT&CK框架与Kill Chain模型的对比
1.1.4 ATT&CK框架与痛苦金字塔模型的关系
1.2 ATT&CK框架七大对象
1.3 ATT&CK框架实例说明
1.3.1 ATT&CK战术实例
1.3.2 ATT&CK技术实例
1.3.3 ATT&CK子技术实例
第2章 基于ATT&CK框架的扩展知识库
2.1 针对容器的ATT&CK攻防知识库
2.1.1 执行命令行或进程
2.1.2 植入恶意镜像实现持久化
2.1.3 通过容器逃逸实现权限提升
2.1.4 绕过或禁用防御机制
2.1.5 基于容器API获取权限访问
2.1.6 容器资源发现
2.2 针对Kubernetes的攻防知识库
2.2.1 通过漏洞实现对Kubernetes的初始访问
2.2.2 执行恶意代码
2.2.3 持久化访问权限
2.2.4 获取更高访问权限
2.2.5 隐藏踪迹绕过检测
2.2.6 获取各类凭证
2.2.7 发现环境中的有用资源
2.2.8 在环境中横向移动
2.2.9 给容器化环境造成危害
2.3 针对内部威胁的TTPs攻防知识库
2.3.1 内部威胁TTPs知识库的研究范围
2.3.2 与ATT&CK矩阵的关系
2.3.3 内部威胁者常用策略
2.3.4 针对内部威胁的防御措施
2.4 针对网络安全对策的知识图谱MITRE D3FEND
2.4.1 建立D3FEND的原因
2.4.2 构建MITRE D3FEND的方法论
2.5 针对软件供应链的ATT&CK框架OSC&R
第二部分 ATT&CK提高篇
第3章 十大攻击组织/恶意软件的分析与检测
3.1 TA551攻击行为的分析与检测
3.2 漏洞利用工具Cobalt Strike的分析与检测
3.3 银行木马Qbot的分析与检测
3.4 银行木马lcedlD的分析与检测
3.5 凭证转储工具Mimikatz的分析与检测
3.6 恶意软件Shlayer的分析与检测
3.7 银行木马Dridex的分析与检测
3.8 银行木马Emotet的分析与检测
3.9 银行木马TrickBot的分析与检测
3.10 蠕虫病毒Gamarue的分析与检测
第4章 十大高频攻击技术的分析与检测
4.1 命令和脚本解析器（T1059）的分析与检测
4.1.1 PowerShell（T1059.001）的分析与检测
4.1.2 Windows Cmd Shell（T1059.003）的分析与检测
4.2 利用已签名二进制文件代理执行（T1218）的分析与检测
4.2.1 Rundll32（T1218.011）的分析与检测
4.2.2 Mshta（T1218.005）的分析与检测
4.3 创建或修改系统进程（T1543）的分析与检测
4.4 计划任务/作业（T1053）的分析与检测
4.5 OS凭证转储（T1003）的分析与检测
4.6 进程注入（T1055）的分析与检测
4.7 混淆文件或信息（T1027）的分析与检测
4.8 入口工具转移（T1105）的分析与检测
4.9 系统服务（T1569）的分析与检测
4.10 伪装（T1036）的分析与检测
第5章 红队视角：典型攻击技术的复现
5.1 基于本地账户的初始访问
5.2 基于WMI执行攻击技术
5.3 基于浏览器插件实现持久化
5.4 基于进程注入实现提权
5.5 基于Rootkit实现防御绕过
5.6 基于暴力破解获得凭证访问权限
5.7 基于操作系统程序发现系统服务
5.8 基于SMB实现横向移动
5.9 自动化收集内网数据
5.10 通过命令与控制通道传递攻击载荷
5.11 成功窃取数据
5.12 通过停止服务造成危害
第6章 蓝队视角：攻击技术的检测示例
6.1 执行：T1059命令和脚本解释器的检测
6.2 持久化：T1543.003创建或修改系统进程（Windows服务）的检测
6.3 权限提升：T1546.015组件对象模型劫持的检测
6.4 防御绕过：T1055.001 DLL注入的检测
6.5 凭证访问：T1552.002注册表中的凭证的检测
6.6 发现：T1069.002域用户组的检测
6.7 横向移动：T1550.002哈希传递攻击的检测
6.8 收集：T1560.001通过程序压缩的检测
第7章 不同形式的攻击模拟
7.1 基于红蓝对抗的全流程攻击模拟
7.1.1 模拟攻击背景
7.1.2 模拟攻击流程
