ATT&CK 在大数据安全分析中的应用思考( 八 )_前言若将今年网络安全圈内的热词进行盘

2. 数据标签化

由于 SIEM 平台本身接入的数据量太大并且有很多没有分析价值的数据，平台需要抽象出一层关注的安全事件，这些事件不一定是恶意攻击，比如 Powershell、CMD 这些运维管理员也会使用的程序，抽象出的事件需要一个标签来描述事件的含义，这时 TTPs 的 ID 就成了最好的标签。 TTPs 的背后是完善的知识库，每个技术都可以追溯其利用原理、战术意图。

通常使用规则将数据打上标签，所以需要先梳理技术对应的数据源，以下表为例：

SIEM 做的是数据分析， ATTCK 可以将数据添加一层标签，标签的生成来自与规则，标签化的流程与利用，如下图：