chenchunrun/onyx-soc/ttp-extractor

# 攻防技战法分析报告
 
## 攻击技术
 
### [T1566] 钓鱼攻击
-**战术阶段**: 初始访问 (Initial Access)
-**技术描述**: 通过伪装的邮件附件投递恶意载荷
-**具体手法**:
  -使用 .docm 宏文档
  -伪装为发票/简历
-**IOC 指标**:
  -发件人: xxx@malicious.com
  -附件哈希: abc123...
-**检测规则**:
  ```yaml
  title: 可疑 Office 宏执行
  detection:
    selection:
      EventID: 1
      ParentImage|endswith: '\WINWORD.EXE'
      Image|endswith: '\cmd.exe'
  ```
 
### [T1059.001] PowerShell 执行
-**战术阶段**: 执行 (Execution)
-**技术描述**: 使用 PowerShell 下载并执行恶意脚本
-**具体手法**:
  -Base64 编码命令
  -绕过执行策略
-**命令示例**: `powershell -enc JABjAD0A...`
-**检测规则**:
  ```sigma
  detection:
    selection:
      CommandLine|contains:
        -'-enc'
        -'-encodedcommand'
        -'downloadstring'
  ```
 
## 防御技术
 
### 针对 [T1566] 的防御
| 防御层 | 措施 | 优先级 |
|--------|------|--------|
| 邮件网关 | 阻止宏文档附件 | 高 |
| 终端 | 禁用 Office 宏 | 高 |
| 用户 | 安全意识培训 | 中 |
| 监控 | 部署 Sigma 检测规则 | 高 |
 
### 针对 [T1059.001] 的防御
| 防御层 | 措施 | 优先级 |
|--------|------|--------|
| 策略 | 启用 Constrained Language Mode | 高 |
| 日志 | 启用 PowerShell 脚本块日志 | 高 |
| 终端 | 部署 AMSI 集成方案 | 中 |
 
## 攻击链路图
 

 
## ATT&CK 矩阵映射
 
| 战术 | 技术 | 子技术 |
|------|------|--------|
| 初始访问 | T1566 钓鱼 | T1566.001 附件 |
| 执行 | T1059 脚本 | T1059.001 PowerShell |
| 持久化 | T1053 计划任务 | - |
| C2 | T1071 应用层协议 | T1071.001 HTTP |
 
## 威胁狩猎查询
 
### Splunk

 
### KQL (Microsoft Sentinel)

用户：分析这份 APT 报告，提取攻防技战法

用户：从这个安全事件描述中提取攻击技术和防御建议

用户：提取攻击技术并生成 Sigma 检测规则

用户：分析这个攻击，给出完整的防御方案