不再受骗：Hunt.io 的 Gophish 检测指南

Wiz 系列文章第一篇：讲解追踪“熟悉云的”威胁行为者所需的云专属指标——IAM 元数据、控制平面 API 调用、容器镜像名等，及其在云环境检测与归因中的关键作用。

介绍如何基于 MITRE ATT&CK 框架的 TTP，按 Logging、Detection、Alerting、Response、Prevention 五个阶段逐项度量威胁检测覆盖度，绘制组织真实的检测版图，定位技术、人员与流程（TPP）的薄弱环节。

探讨 MITRE ATT&CK Evaluations 对评估 EDR 产品的价值与局限：由于测试技术选取有限，厂商宣称的"100% 覆盖"与"100% 防御"易产生误导；SOC 需以数据驱动方式自绘威胁检测版图，回答覆盖度、优先级与投入方向问题。

通过信息图梳理红队常见攻击工作流（以钓鱼为主线）与蓝队检测、防护控制的对应关系，并附上红队避免触发告警的实践经验，帮助安全团队评估检测能力建设。

研究人员通过 HuntSQL™ 发现仿冒波兰能源监管机构(URE)与一家可再生能源企业的域名:其解析至荷兰微软 IP,并暴露运行在 3333 端口的 GoPhish 管理面板;分析时未投递钓鱼内容,疑为面向能源与政府部门的有预谋搭建。

Hunt.io 解构开源钓鱼套件 EvilGophish（Evilginx3 + GoPhish 组合）：剖析其滥用 Cloudflare Turnstile 的规避手法、管理面板指纹，以及批量生成的仿冒域名。