分析網路攻擊鏈 是做什麼的？
使用時機
請在以下情況使用此技能：
- 進行事件後分析，以判斷對手在攻擊序列中進展到哪個階段
- 設計分層防禦控制，目標是盡早在攻擊的初期階段就予以中斷
- 製作威脅情資報告，向非技術背景的利害關係人清楚說明攻擊進展
請勿將此技能當作獨立框架使用 — 應搭配 MITRE ATT&CK 以獲得超越 7 階段攻擊鏈所能提供的技術細節層級。
先決條件
- 完整的事件時間線，並將數位鑑識證據對應到特定的敵方行動
- MITRE ATT&CK 企業矩陣，以便在每個攻擊鏈階段內進行技術層級的映射
- 可存取關於可疑敵對組織典型攻擊鏈進程的威脅情資
- 來自應變團隊的事件後報告或 IR 時間線
工作流程
步驟 1：將觀察到的行動映射到攻擊鏈階段
洛克希德馬丁網路攻擊鏈包含七個階段。請將所有觀察到的敵方行動進行映射：
階段 1 - 偵察：敵方在攻擊前收集目標資訊。
- 指標：來自敵對 IP 的 DNS 查詢、LinkedIn 爬蟲、職位分析、針對組織基礎設施的 Shodan 掃描
階段 2 - 武裝化：敵方建立攻擊工具（惡意軟體 + 漏洞利用程式）。
- 指標：惡意軟體編譯時間戳記、漏洞利用文件元資料、惡意軟體樣本中的建置工具痕跡
階段 3 - 傳遞：敵方將武器傳送至目標。
- 指標：釣魚郵件、惡意附件、路過式下載、USB 掉落、供應鏈攻擊
階段 4 - 利用：敵方利用漏洞執行程式碼。
- 指標：應用程式/作業系統日誌中的 CVE 漏洞利用事件、記憶體毀損痕跡、shellcode 執行
階段 5 - 安裝：敵方在目標上建立持久化機制。
- 指標：新的排程工作、登錄檔執行機碼、服務安裝、網頁後門、開機病毒
階段 6 - 命令與控制 (C2)：敵方與受駭系統進行通訊。
- 指標：信標流量（固定間隔）、DNS 隧道、連線至不常見網域的 HTTPS、C2 框架特徵（Cobalt Strike、Sliver）
階段 7 - 達成目標：敵方達成最終目的。
- 指標：資料準備/外洩、橫向移動、勒索軟體執行、破壞性活動
步驟 2：識別階段完成情況與偵測點
為事件建立階段矩陣：
階段 1: 偵察 → 已完成（未偵測）
階段 2: 武裝化 → 已完成（未偵測 — 攻擊前）
階段 3: 傳遞 → 已完成；釣魚郵件繞過 SEG
階段 4: 利用 → 已完成；CVE-2023-23397 被利用
階段 5: 安裝 → 已偵測：EDR 標記了排程工作建立（攻擊在此處受阻）
階段 6: C2 → 未達成（安裝遭阻擋）
階段 7: 目標 → 未達成
對於每個完成但未被偵測的階段，請記錄其防禦控制缺口。
步驟 3：映射至 MITRE ATT&CK 以取得技術細節
每個攻擊鏈階段對應到多個 ATT&CK 戰術：
- 傳遞 → 初始入侵 (TA0001)
- 利用 → 執行 (TA0002)
- 安裝 → 持久化 (TA0003)、權限提升 (TA0004)
- C2 → 命令與控制 (TA0011)
- 達成目標 → 滲漏 (TA0010)、影響 (TA0040)
在每個階段內，列舉觀察到的特定 ATT&CK 技術，並映射至現有偵測機制。
步驟 4：為每個階段識別行動方案
針對每個階段，記錄適用的防禦行動方案：
- 偵測行動方案：哪些偵測機制會警示此階段的敵方活動？
- 拒絕行動方案：哪些控制措施能防止敵方完成此階段？
- 破壞行動方案：哪些控制措施能中斷敵方在此階段的行動？
- 削弱行動方案：哪些控制措施能降低敵方在此階段的有效性？
- 欺騙行動方案：哪些欺騙機制（蜜罐、金絲雀標記）能揭露此階段的活動？
- 摧毀行動方案：哪些主動防禦能力能癱瘓敵方基礎設施？
步驟 5：產出攻擊鏈分析報告
將發現結果整理為：
- 攻擊敘事（各階段時間線）
- 分階段分析（附帶證據）
- 偵測點分析（哪些有效、哪些失效）
- 各階段防禦建議（按成本效益排序）
- 控制改善路線圖
關鍵概念
| 術語 | 定義 |
|---|---|
| 攻擊鏈 | 敵方入侵階段的序列模型；中斷任何一環理論上即可阻止攻擊 |
| 行動方案 | 映射至每個攻擊鏈階段的防禦回應：偵測、拒絕、破壞、削弱、欺騙、摧毀 |
| 信標 | 受駭主機定期、規律地向敵方伺服器發出的 C2 回呼模式；可透過頻率分析偵測 |
| 階段完成 | 敵方成功完成一個攻擊鏈階段並進展至下一個；縱深防禦旨在防止此情況發生 |
| 情報取得/損失 | 分析在階段 5（相較於階段 3）偵測是否減少了關於敵方能力或意圖的情報 |
工具與系統
- MITRE ATT&CK Navigator：將攻擊鏈階段疊加至 ATT&CK 技術覆蓋範圍，進行整合分析
- Elastic Security EQL：用於在 Elastic SIEM 中查詢多階段攻擊序列的事件查詢語言
- Splunk ES：用於攻擊鏈階段排序的時間線視覺化與相關性搜尋
- MISP：透過星系叢集進行攻擊鏈標記，用於結構化事件文件記錄
常見陷阱
- 線性假設：敵方不一定線性推進 — 他們可能會跳過階段（上一波攻擊已完成的武裝化）或循環回去（偵測後重建 C2）。
- 忽略階段 1 和 2：偵察和武裝化發生在防禦方可見範圍之外。有關這些階段的情報需仰賴外部來源（OSINT、威脅情資）。
- 遺漏內部威脅：攻擊鏈是為外部敵人所設計。內部威脅可能直接跳到階段 7 而無需經歷較早的階段。
- 與 ATT&CK 戰術混淆：7 階段攻擊鏈和 14 個 ATT&CK 戰術互補但不等同。保持區別以避免分析混亂。