MITRE ATT&CK Navigator中JSON与Excel导出的差异解析

背景介绍

MITRE ATT&CK Navigator是一个用于浏览和注释ATT&CK矩阵的交互式工具，它允许安全专业人员可视化攻击技术并创建自定义层。在使用过程中，用户可能会注意到JSON和Excel两种导出格式之间存在一些差异，这实际上是设计使然而非软件缺陷。

核心差异解析

JSON导出的设计理念

JSON格式导出时，Navigator采用了"最小化原则"，即只包含那些被用户显式注释过的技术项。这里的"注释"包括：

• 评分（score）
• 颜色标记（color）
• 用户评论（comment）
• 启用的子技术（enabled）
• 其他自定义元数据

这种设计带来了两个主要优势：

1. 显著减小了文件体积，特别是当用户只对少量技术进行注释时
2. 使文件内容更加聚焦于用户实际关注的技术点

Excel导出的工作机制

相比之下，Excel导出功能采用了"渲染模式"，它会完整呈现用户在Navigator界面中看到的所有内容，包括：

• 所有可见的技术项（无论是否被注释）
• 当前应用的过滤器结果
• 展开的子技术结构
• 可视化效果（如颜色编码）

这种设计更符合用户对"导出当前视图"的预期，适合用于报告或演示场景。

实际案例分析

在用户报告的场景中，T1530技术出现在Excel导出但未出现在JSON导出中，这完全符合预期行为：

1. 用户通过过滤器使T1530在界面中可见
2. 但未对该技术添加任何注释（评分、颜色等）
3. 因此Excel导出包含该技术（因为它在视图中可见）
4. 而JSON导出则排除了该技术（因为没有相关注释）

最佳实践建议

1. 需要完整技术列表时：使用Excel导出功能，适合创建检查清单或完整技术矩阵
2. 需要共享注释内容时：使用JSON导出，适合团队协作或版本控制
3. 混合使用场景：可以同时导出JSON和Excel，前者用于程序化处理，后者用于人工查阅
4. 注意事项：JSON导入时只会显示被注释的技术，这是正常行为而非数据丢失

技术实现细节

从架构角度看，这种差异源于两种导出方式的不同目的：

• JSON层（Layer）格式是Navigator的核心数据结构，设计为轻量级的注释容器
• Excel导出则是面向最终用户的展示格式，需要保持与界面显示的一致性

开发者可以通过检查JSON中的techniques数组来确认哪些技术被显式注释，而Excel则更适合用于验证当前视图的完整内容。

理解这一设计差异有助于用户更有效地使用Navigator进行威胁建模、红蓝对抗演练和安全态势评估等工作。