分析网络杀伤链 是做什么的？
何时使用
在以下场景中使用此技能：
- 进行事后分析，以确定对手在攻击序列中推进了多远
- 设计分层防御控制，旨在尽早中断攻击
- 制作威胁情报报告，向非技术利益相关者传达攻击进展情况
不要将此技能作为独立框架使用——应结合MITRE ATT&CK以获取超越7阶段杀伤链提供的技术级粒度。
前提条件
- 完整的事件时间线，包含映射到特定对手行动的取证产物
- MITRE ATT&CK企业矩阵，用于每个杀伤链阶段内的技术级映射
- 访问关于疑似对手群体典型杀伤链进展的威胁情报
- 来自响应团队的事后报告或事件响应时间线
工作流程
步骤1：将观察到的行动映射到杀伤链阶段
洛克希德·马丁网络杀伤链包含七个阶段。映射所有观察到的对手行动：
阶段1 - 侦察：对手在攻击前收集目标信息。
- 指标：来自对手IP的DNS查询、LinkedIn抓取、职位发布分析、对组织基础设施的Shodan扫描
阶段2 - 武器化：对手创建攻击工具（恶意软件+漏洞利用）。
- 指标：恶意软件编译时间戳、漏洞利用文档元数据、恶意软件样本中的构建工具产物
阶段3 - 交付：对手将武器传输给目标。
- 指标：钓鱼邮件、恶意附件、路过式下载、USB插入、供应链攻陷
阶段4 - 利用：对手利用漏洞执行代码。
- 指标：应用程序/操作系统日志中的CVE利用事件、内存损坏产物、Shellcode执行
阶段5 - 安装：对手在目标上建立持久性。
- 指标：新计划任务、注册表启动项、服务安装、网络shell、Bootkit
阶段6 - 命令与控制 (C2)：对手与被攻陷的系统通信。
- 指标：信标流量（固定间隔）、DNS隧道、HTTPS连接到不常见域名、C2框架签名（Cobalt Strike, Sliver）
阶段7 - 目标行动：对手实现目标。
- 指标：数据准备/窃取、横向移动、勒索软件执行、破坏性活动
步骤2：识别阶段完成和检测点
为事件创建一个阶段矩阵：
阶段1: 侦察 → 已完成（未检测到）
阶段2: 武器化 → 已完成（未检测到——攻击前）
阶段3: 交付 → 已完成；钓鱼邮件绕过了邮件安全网关
阶段4: 利用 → 已完成；CVE-2023-23397被利用
阶段5: 安装 → 已检测到：EDR标记了计划任务创建（攻击在此处停滞）
阶段6: C2 → 未实现（安装被阻止）
阶段7: 目标行动 → 未实现
对于每个已完成但未被检测到的阶段，记录防御控制缺口。
步骤3：映射到MITRE ATT&CK以获取技术细节
每个杀伤链阶段对应多个ATT&CK策略：
- 交付 → 初始访问 (TA0001)
- 利用 → 执行 (TA0002)
- 安装 → 持久化 (TA0003)、权限提升 (TA0004)
- C2 → 命令与控制 (TA0011)
- 目标行动 → 数据窃取 (TA0010)、影响 (TA0040)
在每个阶段内，列举观察到的具体ATT&CK技术，并映射到现有检测。
步骤4：识别每个阶段的行动路线
对于每个阶段，记录适用的防御行动路线：
- 检测行动路线：哪些检测能在该阶段对对手活动发出警报？
- 拒绝行动路线：哪些控制能阻止对手完成该阶段？
- 破坏行动路线：哪些控制能中断对手在该阶段的进程？
- 降级行动路线：哪些控制能降低对手在该阶段的有效性？
- 欺骗行动路线：哪些欺骗手段（蜜罐、金丝雀令牌）能暴露该阶段的活动？
- 摧毁行动路线：哪些主动防御能力能中和对手的基础设施？
步骤5：生成杀伤链分析报告
按以下结构组织发现：
- 攻击叙述（各阶段的时间线）
- 按阶段的分析及证据
- 检测点分析（哪些有效，哪些失败）
- 按成本/有效性排序的每个阶段防御建议
- 控制改进路线图
关键概念
| 术语 | 定义 |
|---|---|
| 杀伤链 | 对手入侵阶段的顺序模型；打破任何一环理论上即可阻止攻击 |
| 行动路线 (COA) | 映射到每个杀伤链阶段的防御响应：检测、拒绝、破坏、降级、欺骗、摧毁 |
| 信标通信 | 受控主机向对手服务器发送的周期性C2通信模式；可通过频率分析检测 |
| 阶段完成 | 对手成功完成某个杀伤链阶段并进入下一阶段；纵深防御旨在阻止此过程 |
| 情报得失 | 分析在阶段5（而非阶段3）进行检测是否会减少关于对手能力或意图的情报 |
工具与系统
- MITRE ATT&CK Navigator：将杀伤链阶段与ATT&CK技术覆盖叠加，进行集成分析
- Elastic Security EQL：事件查询语言，用于在Elastic SIEM中查询多阶段攻击序列
- Splunk ES：时间线可视化和关联搜索，用于杀伤链阶段排序
- MISP：通过星系集群进行杀伤链标记，用于结构化事件记录
常见陷阱
- 线性假设：对手并非总是线性推进——他们可能跳过阶段（武器化已在之前的战役中完成）或循环（检测后重新建立C2）。
- 忽略阶段1和2：侦察和武器化发生在防御者可见范围之外。关于这些阶段的情报需要外部来源（OSINT、威胁情报）。
- 遗漏内部威胁：杀伤链是为外部对手设计的。内部威胁可能直接跳到阶段7，而不经过早期阶段。
- 与ATT&CK战术混淆：7阶段杀伤链和14个ATT&CK战术是互补的，但并非直接等价。保持区分以防止分析混淆。