什么是网络杀伤链？

2011 年，Lockheed Martin 将一个称作“杀伤链”的军事概念应用于网络安全行业，并将其命名为“网络杀伤链”。与杀伤链一样，网络杀伤链会识别攻击的各个阶段，并让防御者深入了解攻击者在每个阶段的典型战术和技术。这两种模型也都是线性的，预期攻击者将按顺序执行每个阶段。

自网络杀伤链首次引入以来，网络威胁行动者已经进化了他们的战术，并不总是遵循网络杀伤链的每个阶段。作为回应，安全行业更新了其方法并开发了新的模型。MITRE ATT&CK® 矩阵是基于实际攻击的战术和技术的详细列表。它采用与网络杀伤链类似的阶段，但并不遵循线性顺序。

2017 年，Paul Pols 与 Fox-IT 和荷兰莱顿大学合作开发了另一个框架，也就是统一杀伤链，该框架将 MITRE ATT&CK 矩阵和网络杀伤链的元素合并到一个具有 18 个阶段的模型中。

侦查

网络杀伤链定义了一系列网络攻击阶段，其目标是理解网络攻击者的心态，包括他们的动机、工具、方法和技术、他们如何做出决策以及他们如何规避检测。了解网络杀伤链的工作原理有助于防御者在早期阶段遏止网络攻击。

在武器化阶段，恶意行动者使用在侦查过程中发现的信息来创建或修改恶意软件，从而最大限度利用目标组织的弱点。

构建恶意软件后，网络攻击者会尝试发起攻击。最常见的方法之一是利用社会工程技术（如网络钓鱼）来诱使员工交出他们的登录凭据。恶意行动者还可能利用不安全的公共无线连接或利用侦查期间发现的软件或硬件漏洞实现入侵。

网络威胁行动者渗透到组织后，他们利用其访问权限从一个系统横向移动到另一个系统。他们的企图是找到敏感数据、其他漏洞、管理帐户或电子邮件服务器，他们可以利用这些内容对组织造成损害。

在安装阶段，恶意行动者会安装恶意软件，从而使他们能够控制更多系统和帐户。

网络攻击者获得大量系统的控制权后，会创建一个控制中心，让他们能够远程操作。在这个阶段，他们使用模糊处理来掩盖自己的行踪并避免被检测到。他们还使用拒绝服务攻击来分散安全专业人员对其真正目标的注意力。

在这个阶段，网络攻击者采取措施来实现其主要目标，这可能包括供应链攻击、数据外泄、数据加密或数据销毁。

虽然 Lockhead Martin 最初的网络杀伤链只包含 7 个步骤，但许多网络安全专家已将其扩展到 8 个步骤，以涵盖恶意行动者通过攻击获取收入的活动，例如使用勒索软件从受害者那里敲诈钱财或在暗网上出售敏感数据。

了解网络威胁行动者如何计划和实施攻击有助于网络安全专业人员发现并缓解整个组织的漏洞。它还可帮助他们在网络攻击的早期阶段识入侵迹象。许多组织使用网络杀伤链模型来主动实施安全措施并指导事件响应。

威胁情报

保护组织免受网络威胁的最重要工具之一是威胁情报。 良好的威胁情报解决方案可以综合来自整个组织环境的数据，并提供可操作的见解，帮助安全专业人员尽早检测到网络攻击。

恶意行动者通常通过猜测或窃取密码来渗透到组织中。入侵后，他们试图提升权限来获取对敏感数据和系统的访问权限。身份和访问管理解决方案有助于检测可能表明未经授权的用户已获得访问权限的异常活动。它们还提供控件和安全措施，例如双因素身份验证，使得盗取凭据的人更难使用这些凭据进行登录。

在安全信息和事件管理 (SIEM) 解决方案的帮助下，许多组织始终领先于最新的网络威胁。SIEM 解决方案聚合来自整个组织和第三方来源的数据，以显示关键网络威胁，供安全团队进行会审和处理。许多 SIEM 解决方案还会自动响应某些已知威胁，从而减少团队需要调查的事件数量。

在任何一个组织中，都有成百上千个终结点。在公司用于开展业务的服务器、计算机、移动设备和物联网 (IoT) 设备之间，几乎不可能使它们全部保持最新状态。恶意行动者知道这一点，这就是为什么许多网络攻击从一个遭到入侵的终结点开始。终结点检测和响应解决方案可帮助安全团队监视其是否存在威胁，并在发现设备安全问题时快速响应。

扩展检测和响应 (XDR) 解决方案使终结点检测和响应更进一步，通过单个解决方案来保护终结点、标识、云应用和电子邮件。

并非所有公司都有内部资源来有效地检测和响应威胁。为了增强现有的安全团队，这些组织转向提供托管检测和响应的服务提供商。这些服务提供商负责监视组织环境和响应威胁。

尽管了解网络杀伤链可以帮助公司和政府主动准备和应对复杂的多阶段网络威胁，但完全依赖它可能会使组织容易受到其他类型的网络攻击。对网络杀伤链的一些常见批评是：

• 侧重于恶意软件。最初的网络杀伤链框架旨在检测和响应恶意软件，但对于其他类型的攻击来说并不有效，例如未经授权的用户使用已泄露的凭据获取访问权限。

• 非常适合外围安全。当只有一个网络外围需要保护时，着重于保护终结点的网络杀伤链模型效果良好。现在，有这么多远程工作者、云服务，而且访问公司资产的设备数量不断增加，几乎不可能解决每个终结点漏洞。

• 未准备好应对内部威胁。已经有权访问某些系统的内部人员在网络杀伤链模式下更难被发现。相反，组织需要监视和检测用户活动中的变化。

• 过于线性。尽管许多网络攻击遵循网络杀伤链中列出的 8 个阶段，但也有许多阶段没有遵守或将几个步骤合并为一个行动。过于关注每个阶段的组织可能会错过这些网络威胁。

自 2011 年 Lockhead Martin 首次引入网络杀伤链以来，技术和网络威胁领域发生了很大变化。云计算、移动设备和 IoT 设备改变了人们的工作方式和企业运营的方式。网络威胁行动者已经用自己的创新来应对这些新技术，包括使用自动化和 AI 来加速和改进他们的网络攻击。 网络杀伤链为制定主动安全策略提供了一个很好的起点，该策略将网络攻击者的思维和目标考虑在内。Microsoft 安全提供统一安全运营平台，它将 XDR 和 SIEM 整合到一个可调整适应的解决方案中，帮助组织开发多层防御来保护网络杀伤链中的所有阶段。组织还通过投资面向网络安全解决方案的 AI（例如 Microsoft 安全 Copilot），对新型的 AI 支持的网络威胁做好准备。