MITRE ATT&CK® Navigator 使用指南：威胁矩阵可视化分析工具详解

什么是MITRE ATT&CK Navigator

MITRE ATT&CK Navigator是一款专门用于浏览和标注ATT&CK矩阵的工具，它为用户提供了一种直观的方式来可视化网络安全威胁矩阵。该工具的设计初衷是替代传统Excel等工具对ATT&CK矩阵的操作，通过简洁通用的界面让用户能够：

• 可视化防御覆盖范围
• 规划红蓝队演练
• 记录检测到的技术频率
• 自定义任何与ATT&CK矩阵相关的分析需求

工具的核心价值在于其灵活性 - 用户可以对矩阵中的单元格进行多种操作（着色、添加注释、赋值等），而工具本身不预设任何特定用途，完全由用户定义这些操作的实际意义。

核心概念：层(Layers)

层的基本概念

层是Navigator的核心功能单元，它代表了对特定技术领域ATT&CK矩阵的定制化视图。在最新版本中，Navigator支持以下技术领域的知识库：

• 企业网络(Enterprise)
• 移动设备(Mobile)
• 工业控制系统(ICS)
• 自定义ATT&CK集合
• STIX数据包

每个层都独立于其他层，但可以通过特定方式组合以支持更复杂的分析需求。

层的操作方式

用户可以通过以下方式与层进行交互：

1. 技术查看：右键点击技术项选择"查看技术"，将在新标签页中显示该技术的详细定义
2. 自定义视图：
   • 颜色标注
   • 隐藏/显示技术
   • 添加注释
   • 分配数值评分
   • 添加链接
   • 附加元数据

层的创建与管理

创建新层

创建新层时，用户可以选择：

1. 指定ATT&CK版本和领域
2. 提供自定义集合或STIX包的URL

出于性能考虑，Navigator限制同时最多只能有10个活动层。

保存与加载层

层可以保存为JSON格式文件，包含以下配置信息：

• 自定义技术的配置（注释、颜色、禁用状态等）
• 评分梯度设置
• 过滤器选择
• 层名称和描述
• 视图配置

加载层时，可以从本地文件或远程URL导入。

层版本升级

当ATT&CK知识库更新时，用户可以通过升级功能将旧版本的层迁移到新版本：

1. 查看新增的技术并适当标注
2. 检查已有标注技术的变化情况
3. 处理已被移除或替换的技术
4. 确认未变化的技术

升级过程中，用户可以：

• 查看技术的前后状态对比
• 复制旧版本的标注到新版本
• 标记已审阅的技术

高级层操作

从其他层创建新层

用户可以基于现有层创建新层，并继承以下属性：

1. 领域和版本：必须与源层相同
2. 评分表达式：使用数学表达式计算新层的评分
3. 其他属性继承：包括梯度、颜色、注释、链接、元数据等

评分表达式支持丰富的运算符和函数，例如：

• (a+b)/2（计算两层评分的平均值）
• a*(b+c)
• 100-a（反转评分）
• (a>b) and (a>=75)（条件表达式）

层控制功能详解

层信息管理

用户可以编辑层的名称和描述，并添加以下内容：

1. 元数据：支持其他应用程序使用的附加字段
2. 链接：提供相关外部资源的参考链接

排序功能

Navigator提供四种排序模式：

1. 按技术名称升序
2. 按技术名称降序
3. 按评分升序（未评分视为0）
4. 按评分降序（未评分视为0）

过滤功能

过滤器采用逻辑"或"的方式组合，主要过滤条件包括：

平台过滤器：根据技术适用的平台进行筛选。不同技术领域支持的平台不同：

• 企业领域：Windows、Linux、macOS等
• 移动领域：Android、iOS
• ICS领域：控制服务器、工程工作站等

颜色设置

1. 战术行背景：可自定义战术行的背景颜色
2. 评分梯度：将技术评分映射到颜色梯度上，支持：
   • 预设梯度选择
   • 自定义梯度创建
   • 设置高低值范围

技术显示控制

1. 隐藏禁用技术：可以完全隐藏被禁用的技术
2. 子技术显示：控制是否显示嵌套的子技术

实用技巧

1. 组合使用多选和隐藏功能：先通过多选选择特定条件的技术，禁用它们，然后开启隐藏功能，可以快速清理视图
2. 二进制评分可视化：将低值设为透明，高值设为显眼颜色，可以突出显示关键项
3. 层继承创建常量层：在评分表达式中直接输入数值（如50），可以创建所有技术具有相同评分的新层

通过掌握这些功能和技巧，安全团队可以更高效地利用MITRE ATT&CK框架进行威胁分析、防御规划和技术评估。