非营利安全研究机构MITRE本周发布了嵌入式系统威胁矩阵（Embedded Systems Threat Matrix），为嵌入式设备提供专用的ATT&CK攻击框架，帮助安全人员保障工业设备、机器人和电信设备等国家关键基础设施的安全。

MITRE以维护CVE漏洞数据库和开发MITRE ATT&CK攻击框架而闻名，该框架是全球标准的网络威胁情报知识库，用于分类、理解和应对高级持续性威胁（APT）。

名为Embedded Systems Threat Matrix（ESTM）的框架由MITRE与美国空军武器系统网络韧性办公室（Cyber Resiliency Office for Weapon Systems，CROWS）共同开发。该框架旨在为研究人员、安全专家和厂商提供识别嵌入式系统漏洞、构建安全系统的实用工具，适用于交通、能源、医疗、工业控制和机器人等领域。

ESTM的结构借鉴了MITRE ATT&CK框架，并基于MITRE的概念验证与理论研究开发，整合了专为嵌入式系统设计的攻击战术与手法，可供研究人员和安全从业者进行威胁建模、风险评估，并与现有安全方法如MITRE ATT&CK、威胁情报格式实现整合。它还涵盖新兴威胁与漏洞，助力提前防范。

ESTM官方网站显示，ESTM最早于去年9月发布，目前版本为ESTM 3.0。ESTM已提供STIX 2.1（Structured Threat Information eXpression）格式版本，可供机器读取。

ESTM现已覆盖约218项技术/13种战术（并标注已弃用项），可支持工具、分析师或模型导入现有安全方案。威胁矩阵页面也提供STIX 2.1 JSON文件下载。

ESTM可与MITRE EMB3D威胁模型结合使用，形成完整的安全系统设计资源。MITRE同时鼓励安全专家贡献知识，共同完善ESTM。