当前网络攻击已从传统病毒攻击转向高级持续性威胁（APT）、无文件攻击、内存攻击、横向渗透。传统基于特征的防御彻底失效，90%的企业无法发现潜伏威胁，平均威胁发现时间长达287天。80%的入侵发生在主机层——主机作为承载业务与数据的最后防线，已成为攻防双方的主战场。

中国信通院联合青藤云安全发布的《主机安全能力建设指南》指出：主机安全必须以ATT&CK框架为核心，构建 “持续检测 + 快速响应” 实战化体系，实现“看见威胁、分析威胁、遏制威胁、溯源威胁”。本指南结合该框架与最新威胁态势，提供可落地的HIDS（主机入侵检测系统）建设与响应方案。

ATT&CK：主机安全防御的核心语言

ATT&CK 是全球公认的攻击者战术技术知识库，覆盖 14个战术、400+子技术（持续更新），是主机检测与响应的标准框架。指南强调：主机安全产品必须具备高覆盖ATT&CK能力，才能应对真实攻击。

战术阶段核心目的典型主机技术示例HIDS检测要点初始访问获得入口漏洞利用、供应链攻击、钓鱼附件监听进程启动链、文件落盘行为执行运行恶意代码powershell、wmic、计划任务监控常见 living-off-the-land 二进制文件持久化重启后仍可控注册表/启动项、创建服务、定时任务检测关键注册表/服务/任务变更权限提升获更高权限令牌窃取、漏洞提权、sudo滥用监控特权进程创建、敏感账号操作防御绕过躲开检测禁用安全软件、Rootkit、混淆执行检测驱动加载、内存篡改、日志清理凭证访问窃取密码哈希lsass转储、SAM窃取、键盘记录内存扫描、API调用钩子、文件读取发现了解环境端口扫描、账号枚举、网络共享发现监控异常netstat、whoami、find横向移动扩大战果psexec、WMI横向、RDP登录检测远程计划任务创建、登录日志数据窃取外传数据压缩打包、利用DNS/HTTP隧道外传监控异常出站流量、进程带宽尖峰

主机安全必须在每一环布防，基于ATT&CK战术技术构建检测规则，确保攻击链可被拆解与阻断。

持续检测：HIDS的基础能力建设

HIDS必须超越传统杀毒软件的“文件特征匹配”，进化为行为+内存+关联的检测系统。

多维度数据采集

必需维度：进程创建、命令行参数、网络连接、文件变更、注册表读写、驱动加载、内存区域扫描。

采集原则：全量留存关键事件（至少90天），支持实时流式处理。

行为异常检测

建立主机行为基线（如进程父子关系、网络连接白名单）。

识别“罕见但合法”的异常模式：例如svchost.exe启动cmd.exe并执行whoami。

内存行为检测

针对无文件攻击（如PowerShell内存执行、Code注入）、内存马（如Java WebShell内存马）。

技术手段：扫描敏感API挂钩完整性、检测堆栈调用序列、监控可写可执行内存区域。

关联分析引擎

跨事件关联：将同一主机的离散事件（文件落盘 → 启动进程 → 发起外连）拼接成攻击步骤。

跨主机关联：通过时间+进程链+网络流，识别横向移动路径。

跨时间关联：数月前的持久化后门与当前命令控制流量联动。

快速响应：安全运营的核心能力

仅有检测而无高效响应，威胁发现时间仍可能以天计算。必须建设自动化响应编排能力。

响应环节关键能力参考指标告警降噪基于攻击链、资产重要性、事件频次聚合去重降低90%无效告警，<50条/核心资产/天攻击链还原自动关联ATT&CK技战术，生成攻击者时间线分钟级输出：入口→手法→横向范围→失陷数据隔离与遏制一键隔离主机、结束进程树、删除持久化项、阻断IP自动响应剧本：≤1分钟完成遏制溯源取证记录攻击前后快照（进程内存、文件修改、网络日志）生成符合监管要求的审计报告（含MITRE ID）HIDS建设路径与评估要点

《主机安全能力建设指南》为企业提供了产品选型与能力建设框架，关键阶段包括：

建设阶段核心任务验收要点1. 需求梳理明确合规要求（关基、等保）、自身风险（如Web端口暴露、弱口令）输出主机资产清单与威胁模型2. 能力评估对比HIDS产品对ATT&CK覆盖度（尤其关注执行、持久化、横向移动、防御绕过）要求厂商提供第三方ATT&CK评估结果或攻防演练实测报告3. 部署实施生产环境灰度部署，逐步扩大至全量主机业务影响零故障；Agent CPU/内存占用≤5%4. 运营优化每周复盘告警，调优白名单；每季度模拟攻击测试高危事件漏报率≤1%，误报率≤5%

青藤云安全：基于 ATT&CK 实战化防御领导者

青藤作为国内在 MITRE ATT&CK 框架研究与落地实践方面最具代表性的厂商，自2018年起开展体系化研究，2021年出版全球首部系统化专著《ATT&CK框架实践指南》，并将其深度集成至青藤猎鹰、万相等安全产品中，覆盖主机、云原生及威胁狩猎场景，具备：

• 高精准入侵检测，漏报率低； • 内存攻击、无文件攻击检测行业领先； • 自动化响应与编排，实现分钟级闭环； • 威胁狩猎平台，主动发现潜伏威胁； • 攻防演练零失守，重保零事故。

结语：从被动防御转向主动防御

80% 的入侵发生在主机，传统防御已失效。基于 ATT&CK 框架构建检测与响应能力，是政企单位必备实战能力。《主机安全能力建设指南》提供完整方法论，青藤云安全提供可落地的实战化方案，帮助企业从被动防御转向主动防御，真正做到看见威胁、遏制威胁、打赢威胁。

[特此说明]此文为出于传播更多信息的转载发布，不代表本站的观点及立场。所涉文、图等资料的一切权力和法律责任归材料提供方所有和承担。文章内容仅供参考，不构成任何购买、投资等建议，据此操作风险自担!如若本文有任何内容侵犯您的权益，请及时联系本站邮箱:195811781@qq.com，本站将会在24小时内处理完毕。