资源介绍
视频数量：29个
总时长：3小时8分
课程介绍：
蓝队实战：ATT&CK框架让威胁无处遁形
如果你在安全运营团队工作，每天面对海量的日志和告警，却总觉得抓不住真正的威胁，那么这门课正是为你准备的。很多时候，我们不是在防御真实的攻击者，而是在对抗一堆模糊的安全概念——我们知道有问题，但说不清楚问题出在哪里，也不知道该怎么系统性地解决。ATT&CK框架正是来解决这个问题的。
这门课来自一位实战经验丰富的安全专家，他不会给你讲空洞的理论，而是带你从防御者的角度真正用懂这个框架。整个课程配套了12个工作文档，从快速参考指南到填空式模板，从检测规则编写清单到事件响应剧本，全部都可以直接拿到工作中使用。
课程分为六个模块，逻辑非常清晰。第一模块叫ATT&CK基础入门，你首先会搞清楚这个框架到底是怎么构成的——战术、技巧、子技巧、程序这些层级之间的关系是什么。课程会详细解释企业矩阵的15个战术，以及从版本14到19框架经历了哪些变化。然后你会理解什么是威胁驱动的防御思维，这不是让你去猜测攻击者会怎么做，而是基于真实的情报和已知的攻击模式来构建防御体系。这个模块配套的ATT&CK第19版快速参考卡片会是你以后日常查阅的核心工具。
第二模块是课程的精华部分，叫做真实攻击全流程解析。专家会带你逐个战术走一遍攻击者的完整路径，从初始访问和执行开始，讲清楚钓鱼邮件、漏洞利用这些常见入口是怎么工作的。然后是持久化和权限提升，攻击者如何在你的系统里扎根。中间你会看到凭证访问、发现和横向移动这些环节，明白为什么一旦账号被攻破，整个内网都可能沦陷。最后是收集、命令控制、数据外传和影响阶段，让你清楚攻击者拿到成果前的最后几步是什么样的。最有价值的是，专家用真实的案例来演示——以Play勒索软件组织为例，基于CISA和FBI联合发布的调查报告，完整地把整个入侵链条映射到ATT&CK矩阵上。这种实打实的分析才是真正的技能训练。
第三模块教你如何使用ATT&CK Navigator这个免费工具来管理你的防御工作。你会学到如何把威胁情报转化为技术映射，比如某个APT组织常用的攻击技巧是什么。然后是构建覆盖度热力图，直观地看出你的检测能力在哪些战术上存在空白。最后是风险优先级评估，不是所有技巧都值得同等投入，专家会教你如何根据你自身环境的实际情况来确定防御优先级。
第四模块转向检测工程，这是蓝队的核心工作。首先你会了解v18版本的检测模型，包括检测策略、分析方法、日志来源和数据组件之间的关系。然后是从技术到日志需求的推导——你想检测某种攻击手法，需要收集哪些数据、在哪里找、格式是什么样的。接着就是动手写检测规则，从第一个分析规范开始，逐步构建你自己的检测库。课程配套了两个实战实验，一个是检测凭证转储T1003，一个是检测可疑命令执行T1059，都是最常见的攻击技术。最后你会学到如何调优检测规则，把误报率降下来。
第五模块是检测验证，解决一个很现实的问题：你的检测规则写好了，你怎么知道它真的能抓住攻击？课程首先区分了对抗模拟、渗透测试和红队演练的不同定位，让你理解什么时候该用什么方法。然后是使用Atomic Red Team这套开源工具进行安全可控的测试，接着是进阶的Caldera对抗模拟平台实战。最后你会学到如何把检测缺口反馈到检测规则迭代中，形成完整的闭环。
第六模块是收尾工作，聚焦于响应和体系建设。从检测到响应不是一条鸿沟，你需要一个结构化的剧本，课程会教你如何构建遏制playbook。然后是事件响应与ATT&CK的映射，让你的响应流程也用统一的语言描述。最后是度量你的检测项目成熟度，以及一条90天的威胁驱动防御路线图。
学完这门课，你会建立一套完整的防御方法论。不再是凭感觉做安全，而是能够系统性地识别关键资产、构建检测能力、验证防御有效性、在真实事件中快速响应，并且持续用数据来驱动改进。课程配套的工作文档覆盖了从威胁建模到检测规则编写，从对抗模拟到响应剧本的全流程，你带走的不仅仅是知识，而是一套可以直接落地的工具包。