网络攻击链是指攻击者实施网络攻击的过程。洛克希德·马丁公司将“杀伤链”的概念从军事领域应用于信息安全领域，将其作为一种对计算机网络入侵进行建模的方法。网络攻击链模型在信息安全界得到了一些应用。然而，它并没有被普遍接受，批评者指出了他们认为该模型存在的根本缺陷。

攻击阶段与对策
2011年，洛克希德·马丁公司的计算机科学家描述了一种新的“入侵攻击链”框架或模型，用于防御计算机网络。他们写道，攻击可能分阶段发生，并且可以通过在每个阶段建立的控制措施来阻止。从那时起，数据安全组织就采用了“网络攻击链”来定义网络攻击的各个阶段。

网络攻击链揭示了网络攻击的各个阶段：从早期的侦察到的目标。攻击链还可以用作管理工具，帮助持续改进网络防御。根据洛克希德·马丁公司的说法，威胁必须经过该模型中的几个阶段，包括：

侦察：入侵者选择目标，对其进行研究，并试图识别目标网络中的漏洞。

武器化：入侵者创建针对一个或多个漏洞量身定制的远程访问恶意软件武器，例如病毒或蠕虫。

传递：入侵者将武器传输到目标（例如，通过电子邮件附件、网站或U盘）。

利用：恶意软件武器的程序代码触发，对目标网络采取行动以利用漏洞。

安装：恶意软件武器安装一个入侵者可以使用的访问点（例如“后门”）。

命令与控制：恶意软件使入侵者能够对目标网络进行“键盘操作”的持续访问。

目标行动：入侵者采取行动实现其目标，例如、数据破坏或加密以进行勒索。

可以针对这些阶段采取防御性行动：

检测：确定入侵者是否存在。

拒绝：防止信息泄露和未经授权的访问。

中断：停止或更改出站流量（到攻击者）。

降级：反击命令和控制。

欺骗：干扰命令和控制。

遏制：网段更改。

美国参议院对2013年塔吉特公司数据泄露事件的调查包括基于洛克希德·马丁攻击链框架的分析。它确定了控制措施未能阻止或检测到攻击进展的几个阶段。

侦察：这是攻击者收集有关目标系统或网络信息的初始阶段。这可能包括扫描漏洞、研究潜在的入口点以及识别组织内的潜在目标。

初始入侵：一旦攻击者收集到足够的信息，他们就会试图入侵目标系统或网络。这可能包括利用软件或系统中的漏洞，利用社会工程技术欺骗用户，或使用其他方法获得初始访问权限。

建立后门：在获得初始访问权限后，攻击者通常会创建一个后门或一个进入受感染系统的持久入口点。这确保了即使初始入侵被发现和缓解，攻击者仍然可以重新获得访问权限。

获取用户凭据：在系统中立足后，攻击者可能会试图窃取用户凭据。这可能涉及诸如键盘记录、网络钓鱼或利用弱身份验证机制等技术。

安装各种实用程序：攻击者可能会在受感染的系统上安装各种工具、实用程序或恶意软件，以方便进一步的移动、数据收集或控制。这些工具可能包括远程访问木马（RAT）、键盘记录程序和其他类型的恶意软件。

权限提升/横向移动/数据窃取：一旦进入系统，攻击者就会寻求提升其权限，以获得对网络的更多控制权。他们可能会在网络内横向移动，试图访问更有价值的系统或敏感数据。数据窃取涉及窃取并将有价值的信息传输到网络之外。

维持持久性：此阶段强调攻击者的目标是在受感染的环境中保持长期存在。他们通过不断逃避检测、更新其工具以及适应任何安全措施来做到这一点。

批评
对洛克希德·马丁公司的网络攻击链模型作为威胁评估和预防工具的批评之一是，第一阶段发生在被防御网络之外，因此难以识别或防御这些阶段的行动。同样，据说这种方法强化了传统的基于边界和恶意软件预防的防御策略。其他人则指出，传统的网络攻击链不适合对内部威胁进行建模。考虑到成功入侵内部网络边界的攻击的可能性，这一点尤其令人担忧，这就是为什么组织“需要制定一项应对防火墙内攻击者的策略。他们需要将每个攻击者都视为潜在的内部人员”。

统一攻击链
统一攻击链是由Paul Pols在2017年与Fox-IT和莱顿大学合作开发的，旨在通过整合和扩展洛克希德·马丁公司的攻击链和的ATT&CK框架（两者都基于James Tubberville和Joe Vest构建的“进入、停留和行动”模型）来克服对传统网络攻击链的常见批评。统一版本的攻击链是由18个独特的攻击阶段组成的有序排列，这些阶段可能发生在端到端的网络攻击中，涵盖了在防御网络之外和内部发生的活动。因此，统一攻击链改进了传统攻击链的范围限制和MITRE的ATT&CK中战术的时间不可知性。统一模型可用于分析、比较和防御高级持续性威胁（APT）发起的端到端网络攻击。2021年，Paul Pols发表了关于统一攻击链的后续白皮书。

参考文献
扩展阅读
*