1. Home
  2. Matrices
  3. Enterprise
  4. Enterprise

Enterprise Matrix

Below are the tactics and techniques representing the MITRE ATT&CK® Matrix for Enterprise. The Matrix contains information for the following platforms: Windows, macOS, Linux, PRE, Office Suite, Identity Provider, SaaS, IaaS, Network, Containers.

View on the ATT&CK® Navigator
目标侦查 攻击准备 初始入侵 攻击执行 入侵维持 权限提升 防御规避 凭据获取 环境测绘 横向渗透 信息收集 命令控制 数据渗出 影响释放
10 techniques 8 techniques 10 techniques 14 techniques 20 techniques 14 techniques 44 techniques 17 techniques 32 techniques 9 techniques 17 techniques 18 techniques 9 techniques 14 techniques
主动扫描 (3)
=
信息钓鱼 (4)
=
搜索受害者拥有的网站 (3)
=
搜索开放技术数据库 (4)
=
搜索开放网站/域 (3)
=
搜索闭源 (3)
=
收集受害者主机信息 (4)
=
收集受害者组织信息 (3)
=
收集受害者网络信息 (3)
=
收集受害者身份信息 (3)
=
基础设施妥协 (4)
=
建立账户 (4)
=
开发能力 (4)
=
暂存能力 (3)
=
获取基础设施 (4)
=
获取能力 (4)
=
获取访问权限 (4)
=
账号妥协 (4)
=
供应链破坏 (3)
=
信任关系
内容注入 (3)
=
利用公开应用程序漏洞
外部远程服务
有效账户 (2)
=
浏览器攻击
硬件附加
通过可移动媒体复制 (4)
=
钓鱼 (4)
=
Windows管理规范 (2)
=
云管理命令 (4)
=
共享模块 (2)
=
命令与脚本解释器 (5)
=
客户端执行漏洞利用
容器管理命令 (4)
=
无服务器执行
本机API (4)
=
用户执行 (3)
=
系统服务 (3)
=
软件部署工具 (2)
=
进程间通信 (4)
=
部署容器
预定任务/作业 (3)
=
BITS任务 (3)
=
主机软件二进制文件妥协 (4)
=
事件触发执行 (4)
=
修改身份验证过程 (4)
=
创建或修改系统进程 (3)
=
创建账户 (4)
=
办公应用启动 (4)
=
劫持执行流 (3)
=
启动或登录初始化脚本 (4)
=
启动或登录自动启动执行 (5)
=
外部远程服务
有效账户 (2)
=
服务器软件组件 (4)
=
植入内部镜像 (3)
=
流量激活 (2)
=
浏览器扩展 (3)
=
电源设置 (4)
=
账号操控 (4)
=
预定任务/作业 (3)
=
预操作系统引导 (3)
=
事件触发执行 (4)
=
创建或修改系统进程 (3)
=
劫持执行流 (3)
=
启动或登录初始化脚本 (4)
=
启动或登录自动启动执行 (5)
=
域或租户策略修改 (3)
=
有效账户 (2)
=
权限提升漏洞利用
滥用权限提升控制机制 (4)
=
访问令牌操控 (4)
=
账号操控 (4)
=
进程注入 (4)
=
逃逸至主机
预定任务/作业 (3)
=
BITS任务 (3)
=
Plist文件修改
Rootkit
XSL脚本处理 (2)
=
伪装 (5)
=
伪装
伪造域控制器
使用备用认证材料 (3)
=
修改云计算基础设施 (4)
=
修改云资源层次结构 (3)
=
修改注册表
修改系统镜像 (4)
=
修改身份验证过程 (4)
=
削弱加密
劫持执行流 (3)
=
反射性代码加载 (4)
=
反混淆/解码文件或信息
可信开发者工具代理执行 (3)
=
在主机上构建镜像 (4)
=
域或租户策略修改 (3)
=
妨碍防御 (4)
=
执行保护 (4)
=
文件和目录权限修改 (3)
=
有效账户 (2)
=
未使用/不受支持的云区域 (2)
=
模板注入
流量激活 (2)
=
混淆文件或信息 (5)
=
滥用权限提升控制机制 (4)
=
直接卷访问
移除指标 (4)
=
系统二进制代理执行 (3)
=
系统脚本代理执行 (3)
=
网络边界桥接 (3)
=
虚拟化/沙盒规避 (2)
=
访问令牌操控 (4)
=
调试器规避
进程注入 (4)
=
部署容器
间接命令执行 (3)
=
防御规避漏洞利用
隐藏伪装 (4)
=
预操作系统引导 (3)
=
颠覆信任控制 (3)
=
中间人攻击 (4)
=
从密码存储中获取凭证 (4)
=
伪造Web凭证 (3)
=
修改身份验证过程 (4)
=
凭据访问漏洞利用
多因素身份验证拦截 (4)
=
多因素身份验证请求生成 (3)
=
强制身份验证
操作系统凭证转储 (4)
=
暴力破解 (4)
=
未加密凭证 (3)
=
窃取Web会话Cookie (2)
=
窃取应用访问令牌 (1)
=
窃取或伪造Kerberos票据 (3)
=
窃取或伪造身份认证证书
网络嗅探 (4)
=
输入捕获 (4)
=
云基础设施发现 (3)
=
云存储对象发现 (3)
=
云服务发现 (3)
=
云服务控制面板 (3)
=
域信任发现
外围设备发现 (3)
=
容器与资源发现 (4)
=
密码策略发现
应用窗口发现 (4)
=
文件和目录发现
日志枚举 (3)
=
权限组发现 (4)
=
查询注册表
浏览器信息发现 (4)
=
系统位置发现 (2)
=
系统信息发现 (2)
=
系统所有者/用户发现 (2)
=
系统时间发现 (2)
=
系统服务发现 (2)
=
系统网络连接发现 (2)
=
系统网络配置发现 (3)
=
组策略发现
网络共享发现 (3)
=
网络嗅探 (4)
=
网络服务发现 (2)
=
虚拟化/沙盒规避 (2)
=
设备驱动程序探测
调试器规避
账号发现 (3)
=
软件发现 (2)
=
进程发现 (4)
=
远程系统发现 (4)
=
使用备用认证材料 (3)
=
内部鱼叉式钓鱼 (2)
=
横向工具传输 (3)
=
污染共享内容
软件部署工具 (2)
=
远程服务 (3)
=
远程服务会话劫持 (4)
=
远程服务漏洞利用
通过可移动媒体复制 (4)
=
中间人攻击 (4)
=
从云存储获取数据 (4)
=
从信息存储库获取数据 (4)
=
从可移动介质获取数据
从本地系统获取数据 (5)
=
从网络共享驱动器获取数据
从配置存储库获取数据 (4)
=
剪贴板数据 (4)
=
屏幕捕获 (3)
=
归档收集数据 (4)
=
数据分段 (4)
=
浏览器会话劫持 (3)
=
电子邮件收集 (4)
=
自动化收集 (3)
=
视频捕获 (2)
=
输入捕获 (4)
=
音频捕获 (4)
=
代理 (3)
=
内容注入 (3)
=
加密通道 (3)
=
动态解析 (4)
=
协议隧道 (4)
=
回退信道
多阶段信道 (3)
=
应用层协议 (4)
=
数据混淆 (3)
=
数据编码 (3)
=
流量激活 (2)
=
网络服务 (2)
=
输入工具传输 (3)
=
远程访问软件 (4)
=
通过可移动媒体通信 (3)
=
隐藏基础设施
非应用层协议
非标准端口
传输数据至云账户 (1)
=
数据传输大小限制 (3)
=
替代协议渗出 (4)
=
自动化渗出 (3)
=
通过C2信道渗出
通过其他网络介质渗出 (3)
=
通过物理介质渗出 (3)
=
通过网络服务渗出 (3)
=
预定传输 (2)
=
固件篡改
数据加密以实现影响 (4)
=
数据操控 (4)
=
数据销毁 (4)
=
服务停止 (3)
=
磁盘擦除 (3)
=
篡改 (4)
=
系统关机/重启 (2)
=
系统恢复抑制 (3)
=
终端拒绝服务 (4)
=
网络拒绝服务 (3)
=
财务窃取
账号访问移除 (3)
=
资源劫持 (3)
=
目标侦查 攻击准备 初始入侵 攻击执行 入侵维持 权限提升 防御规避 凭据获取 环境测绘 横向渗透 信息收集 命令控制 数据渗出 影响释放
10 techniques 8 techniques 10 techniques 14 techniques 20 techniques 14 techniques 44 techniques 17 techniques 32 techniques 9 techniques 17 techniques 18 techniques 9 techniques 14 techniques
=
主动扫描 (3)
=
信息钓鱼 (4)
=
搜索受害者拥有的网站 (3)
=
搜索开放技术数据库 (4)
=
搜索开放网站/域 (3)
=
搜索闭源 (3)
=
收集受害者主机信息 (4)
=
收集受害者组织信息 (3)
=
收集受害者网络信息 (3)
=
收集受害者身份信息 (3)
=
基础设施妥协 (4)
=
建立账户 (4)
=
开发能力 (4)
=
暂存能力 (3)
=
获取基础设施 (4)
=
获取能力 (4)
=
获取访问权限 (4)
=
账号妥协 (4)
=
供应链破坏 (3)
信任关系
=
内容注入 (3)
利用公开应用程序漏洞
外部远程服务
=
有效账户 (2)
浏览器攻击
硬件附加
=
通过可移动媒体复制 (4)
=
钓鱼 (4)
=
Windows管理规范 (2)
=
云管理命令 (4)
=
共享模块 (2)
=
命令与脚本解释器 (5)
客户端执行漏洞利用
=
容器管理命令 (4)
无服务器执行
=
本机API (4)
=
用户执行 (3)
=
系统服务 (3)
=
软件部署工具 (2)
=
进程间通信 (4)
部署容器
=
预定任务/作业 (3)
=
BITS任务 (3)
=
主机软件二进制文件妥协 (4)
=
事件触发执行 (4)
=
修改身份验证过程 (4)
=
创建或修改系统进程 (3)
=
创建账户 (4)
=
办公应用启动 (4)
=
劫持执行流 (3)
=
启动或登录初始化脚本 (4)
=
启动或登录自动启动执行 (5)
外部远程服务
=
有效账户 (2)
=
服务器软件组件 (4)
=
植入内部镜像 (3)
=
流量激活 (2)
=
浏览器扩展 (3)
=
电源设置 (4)
=
账号操控 (4)
=
预定任务/作业 (3)
=
预操作系统引导 (3)
=
事件触发执行 (4)
=
创建或修改系统进程 (3)
=
劫持执行流 (3)
=
启动或登录初始化脚本 (4)
=
启动或登录自动启动执行 (5)
=
域或租户策略修改 (3)
=
有效账户 (2)
权限提升漏洞利用
=
滥用权限提升控制机制 (4)
=
访问令牌操控 (4)
=
账号操控 (4)
=
进程注入 (4)
逃逸至主机
=
预定任务/作业 (3)
=
BITS任务 (3)
Plist文件修改
Rootkit
=
XSL脚本处理 (2)
=
伪装 (5)
伪装
伪造域控制器
=
使用备用认证材料 (3)
=
修改云计算基础设施 (4)
=
修改云资源层次结构 (3)
修改注册表
=
修改系统镜像 (4)
=
修改身份验证过程 (4)
削弱加密
=
劫持执行流 (3)
=
反射性代码加载 (4)
反混淆/解码文件或信息
=
可信开发者工具代理执行 (3)
=
在主机上构建镜像 (4)
=
域或租户策略修改 (3)
=
妨碍防御 (4)
=
执行保护 (4)
=
文件和目录权限修改 (3)
=
有效账户 (2)
=
未使用/不受支持的云区域 (2)
模板注入
=
流量激活 (2)
=
混淆文件或信息 (5)
=
滥用权限提升控制机制 (4)
直接卷访问
=
移除指标 (4)
=
系统二进制代理执行 (3)
=
系统脚本代理执行 (3)
=
网络边界桥接 (3)
=
虚拟化/沙盒规避 (2)
=
访问令牌操控 (4)
调试器规避
=
进程注入 (4)
部署容器
=
间接命令执行 (3)
防御规避漏洞利用
=
隐藏伪装 (4)
=
预操作系统引导 (3)
=
颠覆信任控制 (3)
=
中间人攻击 (4)
=
从密码存储中获取凭证 (4)
=
伪造Web凭证 (3)
=
修改身份验证过程 (4)
凭据访问漏洞利用
=
多因素身份验证拦截 (4)
=
多因素身份验证请求生成 (3)
强制身份验证
=
操作系统凭证转储 (4)
=
暴力破解 (4)
=
未加密凭证 (3)
=
窃取Web会话Cookie (2)
=
窃取应用访问令牌 (1)
=
窃取或伪造Kerberos票据 (3)
窃取或伪造身份认证证书
=
网络嗅探 (4)
=
输入捕获 (4)
=
云基础设施发现 (3)
=
云存储对象发现 (3)
=
云服务发现 (3)
=
云服务控制面板 (3)
域信任发现
=
外围设备发现 (3)
=
容器与资源发现 (4)
密码策略发现
=
应用窗口发现 (4)
文件和目录发现
=
日志枚举 (3)
=
权限组发现 (4)
查询注册表
=
浏览器信息发现 (4)
=
系统位置发现 (2)
=
系统信息发现 (2)
=
系统所有者/用户发现 (2)
=
系统时间发现 (2)
=
系统服务发现 (2)
=
系统网络连接发现 (2)
=
系统网络配置发现 (3)
组策略发现
=
网络共享发现 (3)
=
网络嗅探 (4)
=
网络服务发现 (2)
=
虚拟化/沙盒规避 (2)
设备驱动程序探测
调试器规避
=
账号发现 (3)
=
软件发现 (2)
=
进程发现 (4)
=
远程系统发现 (4)
=
使用备用认证材料 (3)
=
内部鱼叉式钓鱼 (2)
=
横向工具传输 (3)
污染共享内容
=
软件部署工具 (2)
=
远程服务 (3)
=
远程服务会话劫持 (4)
远程服务漏洞利用
=
通过可移动媒体复制 (4)
=
中间人攻击 (4)
=
从云存储获取数据 (4)
=
从信息存储库获取数据 (4)
从可移动介质获取数据
=
从本地系统获取数据 (5)
从网络共享驱动器获取数据
=
从配置存储库获取数据 (4)
=
剪贴板数据 (4)
=
屏幕捕获 (3)
=
归档收集数据 (4)
=
数据分段 (4)
=
浏览器会话劫持 (3)
=
电子邮件收集 (4)
=
自动化收集 (3)
=
视频捕获 (2)
=
输入捕获 (4)
=
音频捕获 (4)
=
代理 (3)
=
内容注入 (3)
=
加密通道 (3)
=
动态解析 (4)
=
协议隧道 (4)
回退信道
=
多阶段信道 (3)
=
应用层协议 (4)
=
数据混淆 (3)
=
数据编码 (3)
=
流量激活 (2)
=
网络服务 (2)
=
输入工具传输 (3)
=
远程访问软件 (4)
=
通过可移动媒体通信 (3)
隐藏基础设施
非应用层协议
非标准端口
=
传输数据至云账户 (1)
=
数据传输大小限制 (3)
=
替代协议渗出 (4)
=
自动化渗出 (3)
通过C2信道渗出
=
通过其他网络介质渗出 (3)
=
通过物理介质渗出 (3)
=
通过网络服务渗出 (3)
=
预定传输 (2)
固件篡改
=
数据加密以实现影响 (4)
=
数据操控 (4)
=
数据销毁 (4)
=
服务停止 (3)
=
磁盘擦除 (3)
=
篡改 (4)
=
系统关机/重启 (2)
=
系统恢复抑制 (3)
=
终端拒绝服务 (4)
=
网络拒绝服务 (3)
财务窃取
=
账号访问移除 (3)
=
资源劫持 (3)