CEH M01-05｜Cyber Kill Chain、MITRE ATT&CK
Module 01：Introduction to Ethical Hacking（道德駭客入門）
一、先說結論：一個看整段攻擊，一個看具體行為
這堂課先記住兩句話：
Cyber Kill Chain 幫你整理「攻擊大致走到哪個階段」；MITRE ATT&CK® 幫你描述「對方為了什麼目的，做了什麼行為」。
兩者可以一起使用，但不是同一張表換個名字，也不是一格對一格的翻譯。
想像一間咖啡廳正在調查失竊案。你可以用「事前觀察、準備工具、進入店內、拿走財物」整理整件事；也可以更細地描述「冒充送貨員」「使用失竊鑰匙」「打開收銀機」。前者比較像階段地圖，後者比較像行為分類。
資安事件也是如此。只說「被駭了」太模糊，直接堆一串工具名稱也不夠。我們需要把目的、行為、證據與防護連起來。
這兩套框架適合用來閱讀事件報告、整理已取得的紀錄、檢查偵測缺口，以及設計經授權的驗證。前提是先知道評估範圍、系統環境與證據來源；框架本身不會授予你測試別人的權限。本課只有紙上案例，不操作任何真實目標。
二、Cyber Kill Chain：先把七個階段分清楚
Cyber Kill Chain 常譯為「網路攻擊鏈」，由 Lockheed Martin 提出。本課採用原本的七階段模型，不把其他延伸版本混進來。它的防禦重點不是等攻擊全部走完，而是找出可以發現或阻斷的環節。Lockheed Martin：Cyber Kill Chain
1. Reconnaissance（偵察）
- 白話意思：蒐集目標資訊，了解可能的接觸點。
2. Weaponization（武器化）
- 白話意思：把利用方式與惡意程式等準備成可投遞內容。
3. Delivery（投遞）
- 白話意思：把惡意內容送到目標環境。
4. Exploitation（利用）
- 白話意思：觸發弱點或其他執行條件，讓攻擊程式碼運作。
5. Installation（安裝）
- 白話意思：在環境中安裝惡意元件，建立立足點。
6. Command and Control，C2（命令與控制）
- 白話意思：建立供攻擊者下指令、取得回應的通訊。
7. Actions on Objectives（達成攻擊目的的行動）
- 白話意思：進行竊取、竄改、破壞或中斷服務等目標行動。
七階段的名稱與基本意義可對照原始模型及 EC-Council 的說明。Lockheed Martin 原始論文、EC-Council：七階段介紹
初學者最容易把中間幾步混在一起，這裡拆清楚：
- 收到惡意附件，不等於附件已執行。「送到了」與「真的觸發了」是兩件事。
- 程式碼執行，不等於已安裝持續存取機制。一次執行與之後能否再次進入，要分別查證。
- 存在 C2，不等於已取得所有權限或已偷走資料。能下指令、指令成功執行、資料成功外傳，仍是不同結論。
這張地圖也不是要求每一種攻擊都得出現七個完整、可見的步驟。例如，單純濫用已取得的雲端帳號，不一定需要先在受害電腦安裝惡意程式。事件證據不符合某一步，就保留不適用或未知，不要為了讓故事完整而硬補。
三、MITRE ATT&CK：把「為什麼」和「怎麼做」分開
ATT&CK 的全名是 Adversarial Tactics, Techniques, and Common Knowledge。你可以把它理解成一套持續維護的攻擊者行為知識庫，內容以實際觀察到的行為為基礎，不是掃描工具，也不是一份保證涵蓋所有攻擊的清單。MITRE ATT&CK 入門
先分清四個層次：
Tactic（戰術）
- 要回答的問題：這一步想達到什麼目的？
- 白話例子：Initial Access：想取得最初的存取機會。
Technique（技術）
- 要回答的問題：用哪一類方法達到目的？
- 白話例子：Phishing：透過釣魚方式接觸並誘導目標。
Sub-technique（子技術）
- 要回答的問題：這一類方法中，更具體的是哪一種？
- 白話例子：Spearphishing Attachment：用針對性的惡意郵件附件。
Procedure（具體做法）
- 要回答的問題：在某個事件中，實際怎麼使用這種方法？
- 白話例子：某封假冒供應商的郵件，把惡意檔案包裝成採購明細。
戰術是目的；技術是方法；子技術是更細的方法分類；具體做法是事件中的實際實現。最後一列是本課的假想示例，不是 MITRE 收錄的真實事件。MITRE：四種術語的定義
以這組真實存在的編號為例：
Initial Access → Phishing（T1566）→ Spearphishing Attachment（T1566.001）
T1566.001 是行為分類編號，不是漏洞編號，也不是「攻擊成功」的認證。MITRE 把這個子技術放在 Initial Access 戰術下，但名稱表示行為的目的與類型；一封被攔截的釣魚附件，仍可能呈現這種嘗試，不代表對方成功進來。MITRE：T1566.001
你之後還會看到 Execution（執行）、Persistence（持續存取）、Discovery（環境探索）、Lateral Movement（橫向移動）、Collection（蒐集資料）、Exfiltration（資料外傳）等戰術。現在不用背完全部編號；先學會看到一個行為時，問「它想做到什麼？證據顯示怎麼做？」就好。
四、兩套框架怎麼一起用？不要當成固定闖關表
主要視角
- Cyber Kill Chain：攻擊活動的階段
- MITRE ATT&CK：攻擊者行為與目的
適合回答
- Cyber Kill Chain：這段活動進展到哪裡？哪裡能中斷？
- MITRE ATT&CK：具體用了什麼方法？我們能否偵測？
呈現方式
- Cyber Kill Chain：七階段的概念鏈
- MITRE ATT&CK：戰術、技術及子技術的分類
常見誤用
- Cyber Kill Chain：沒證據也把七步填滿
- MITRE ATT&CK：把矩陣從左到右當成必走流程
ATT&CK 不是時間表。攻擊者可能重複某個行為、跳過某些戰術，或同時進行不同活動；矩陣中相鄰的欄位，不代表時間上一定先後發生。CISA：ATT&CK Mapping 最佳實務
兩者也沒有一對一關係。Cyber Kill Chain 的「Actions on Objectives」範圍很大；在更細的行為分析中，可能涉及資料蒐集、資料外傳或破壞等不同目的。因此，不能看到第七階段，就自動填入所有相關 ATT&CK 技術。
另外，ATT&CK 描述的是行為。即使兩起事件都用了同一種釣魚方法，也不能單憑同一個編號，認定背後是同一個人或組織。
五、具體例子：Northstar 收到一封「採購明細」郵件
以下完全是假想教學情境。Northstar 是線上教材平台，員工電腦可處理一般工作，但沒有讀取學生私人作答資料的權限。
假設調查人員在合法授權下，取得了郵件、終端與存取紀錄，形成以下案例：
郵件冒充供應商；不清楚對方如何知道聯絡人。
- 可支持的判讀：偵察來源仍未知。
- 證據界線：不能直接斷定公司通訊錄被竊取。
附件分析確認它包含惡意內容。
- 可支持的判讀：可分析武器化後的成品。
- 證據界線：不代表知道在哪裡、何時、由誰製作。
郵件紀錄確認該附件送達員工信箱。
- 可支持的判讀：Delivery；其針對性惡意附件行為可對照 T1566.001。
- 證據界線：送達不等於開啟或執行。
另有終端與樣本證據，確認閱讀程式的弱點被利用而執行惡意程式碼。
- 可支持的判讀：Exploitation；可對照 T1203。
- 證據界線：不是所有「開啟附件」都符合這個結論。
終端紀錄確認惡意元件被寫入並安裝。
- 可支持的判讀：Installation。
- 證據界線：仍不能只靠寫入檔案，就說重新開機後一定能持續存取。
關聯分析確認該元件透過 HTTPS 交換攻擊指令與回應。
- 可支持的判讀：C2；可對照 T1071.001。
- 證據界線：不是看到 HTTPS 連線就能判為 C2。
惡意程序嘗試讀取學生私人資料，但被存取控制拒絕。
- 可支持的判讀：有朝攻擊目的前進的嘗試；這次讀取被阻擋。
- 證據界線：不能宣稱資料已外洩，也不能因此保證所有資料都安全。
這裡的 T1203 是「利用用戶端軟體漏洞來執行程式碼」；只有相應證據存在時才套用，不把所有附件執行都塞進去。MITRE：T1203
T1071.001 則描述利用 Web 協定進行 C2 的行為。HTTPS 同時也大量用於正常工作，所以需要程序、目的地、時間與通訊用途等脈絡；協定名稱本身不能證明惡意。MITRE：T1071.001
這個例子真正要練的，不是「貼了幾個標籤」，而是：每個標籤旁邊，都有能支持它的觀察，以及不能超過的結論界線。
六、防護要回到「擋什麼、看什麼、怎麼驗證」
沿用上面的假想案例，我們可以提出以下防護設計；是否有效，仍要在自己的授權環境中驗證，不能光看產品已安裝。
郵件過濾與附件檢查
- 防護目標：降低惡意內容送到使用者的機會。
- 驗證重點：郵件到底被阻擋、隔離，還是只有產生警告？
軟體安全更新與執行限制
- 防護目標：降低弱點被利用及不當程式碼執行的機會。
- 驗證重點：更新是否實際生效？安全的授權驗證是否符合預期？
終端行為監控
- 防護目標：發現異常執行、安裝及後續活動。
- 驗證重點：有沒有對應到正確的裝置、程序與時間？告警是否有人處理？
必要的對外連線限制
- 防護目標：限制不必要的通訊。
- 驗證重點：規則是否真的阻擋該連線？正常業務是否仍可使用？
最小權限與資料存取稽核
- 防護目標：即使某個帳號或程序受影響，也限制可接觸的資料。
- 驗證重點：用合成資料與授權測試帳號確認：不該讀的被拒絕，該讀的仍能讀。
把防護配置到不同階段，是為了不要只靠單一關卡；AWS 的官方分析也用攻擊鏈整理各階段可採取的偵測與阻斷措施。AWS：各階段的防禦介入
寫事件結論時，請保持三個習慣：
1. 先寫觀察，再寫分類。例如先寫「郵件紀錄顯示附件被隔離」，不要先寫「入侵成功」再找理由。
2. 區分嘗試、成功與影響。嘗試讀取、讀取成功、複製成功、外傳成功，不是同一件事。
3. 保留未知。沒有紀錄可能是沒發生，也可能是未記錄、保存期限已過或查詢範圍不完整；不能直接把「沒找到」改成「保證沒有」。
同樣地，偵測規則標上 ATT&CK 編號，只代表宣稱要涵蓋某種行為；還要測試資料是否收得到、規則是否有效、誤報是否可接受，以及真的告警時能不能處理。分類不是驗證的替代品。
七、本堂重點與一題小檢核
今天先帶走四件事：
- Cyber Kill Chain：看階段，找介入點。
- MITRE ATT&CK：看目的與行為，讓分析有共同語言。
- 不硬湊七階段，也不把 ATT&CK 當固定時間順序。
- 有行為標籤，不等於攻擊成功；結論要跟著證據走。
小檢核：
一家公司收到一封針對性的惡意附件郵件，但郵件閘道已將它隔離。目前沒有找到附件在員工電腦上執行的證據。分析員寫下：「這符合 T1566.001，所以已確認攻擊者成功入侵並竊取資料。」
你會怎麼修正這句結論？用自己的話說一小段就好，不必背編號。
你可以先答這一題；等你實際回答後，我再確認理解。
展開小檢核參考解答｜白話說明
比較準確的說法是：「已觀察到針對性的惡意附件郵件投遞嘗試，行為可對照 Spearphishing Attachment（T1566.001）；這封郵件已被閘道隔離，目前沒有足夠證據確認附件在終端執行、攻擊者取得存取權，或資料遭到竊取。」
關鍵在於：T1566.001 是行為分類，不是入侵成功的證明。在 Cyber Kill Chain 的觀點，可以討論投遞環節被攔截；不能因此往後推定利用、安裝、C2 或資料外傳全部發生。
「沒有找到執行證據」也不等於已證明整個環境沒有其他入侵。仍要確認日誌是否完整、是否存在其他郵件副本或攻擊路徑，並把結論限定在已查核的範圍。
展開本解答只供自行核對；沒有收到你的實際回答前，不把本課標成理解通過。
概念 Q&A
待補：收到相關問題後，會整理為匿名教學版。