analyzing-cyber-kill-chain

分析网络杀伤链

何时使用

在以下情况下使用本技能：

• 开展事件后分析，以确定攻击者在攻击序列中推进到了多远
• 设计分层防御控制措施，目标是在尽可能最早的阶段中断攻击
• 生成威胁情报报告，向非技术利益相关者传达攻击进展情况

不要将本技能作为独立框架使用——应结合 MITRE ATT&CK，以获得超出 7 阶段杀伤链所提供的技术级粒度。

前提条件

• 完整的事件时间线，并将取证痕迹映射到特定攻击者操作
• MITRE ATT&CK Enterprise 矩阵，用于在每个杀伤链阶段内进行技术级映射
• 可获取关于疑似攻击者组织典型杀伤链推进方式的威胁情报
• 响应团队提供的事件后报告或 IR 时间线

工作流

步骤 1：将观察到的操作映射到杀伤链阶段

Lockheed Martin 网络杀伤链由七个阶段组成。映射所有观察到的攻击者操作：

阶段 1 - 侦察：攻击者在攻击前收集目标信息。

• 指标：来自攻击者 IP 的 DNS 查询、LinkedIn 抓取、职位发布分析、对组织基础设施的 Shodan 扫描

阶段 2 - 武器化：攻击者创建攻击工具（恶意软件 + 漏洞利用）。

• 指标：恶意软件编译时间戳、漏洞利用文档元数据、恶意软件样本中的构建器痕迹

阶段 3 - 投递：攻击者将武器传输到目标。

• 指标：钓鱼邮件、恶意附件、路过式下载、USB 投放、供应链入侵

阶段 4 - 利用：攻击者利用漏洞执行代码。

• 指标：应用/操作系统日志中的 CVE 利用事件、内存破坏痕迹、shellcode 执行

阶段 5 - 安装：攻击者在目标上建立持久化。

• 指标：新的计划任务、注册表运行键、服务安装、Web shell、bootkit

阶段 6 - 命令与控制（C2）：攻击者与被入侵系统通信。

• 指标：信标流量（固定间隔）、DNS 隧道、指向不常见域的 HTTPS、C2 框架特征（Cobalt Strike、Sliver）

阶段 7 - 目标操作：攻击者实现目标。

• 指标：数据暂存/外泄、横向移动、勒索软件执行、破坏性活动

步骤 2：识别阶段完成情况和检测点

为该事件创建阶段矩阵：

Phase 1: Recon        → Completed (undetected)
Phase 2: Weaponize    → Completed (undetected — pre-attack)
Phase 3: Delivery     → Completed; phishing email bypassed SEG
Phase 4: Exploit      → Completed; CVE-2023-23397 exploited
Phase 5: Install      → DETECTED: EDR flagged scheduled task creation (attack stalled here)
Phase 6: C2           → Not achieved (installation blocked)
Phase 7: Objectives   → Not achieved

对于每个未检测到即完成的阶段，记录防御控制缺口。

步骤 3：映射到 MITRE ATT&CK 以获取技术细节

每个杀伤链阶段映射到多个 ATT&CK 战术：

• 投递 → 初始访问（TA0001）
• 利用 → 执行（TA0002）
• 安装 → 持久化（TA0003）、权限提升（TA0004）
• C2 → 命令与控制（TA0011）
• 目标操作 → 外泄（TA0010）、影响（TA0040）

在每个阶段内，列举观察到的具体 ATT&CK 技术，并映射到现有检测。

步骤 4：为每个阶段识别行动方案

对于每个阶段，记录适用的防御行动方案（COA）：

• 检测 COA：什么检测会对该阶段中的攻击者活动发出告警？
• 拒绝 COA：什么控制会阻止攻击者完成该阶段？
• 扰乱 COA：什么控制会在该阶段中途打断攻击者？
• 削弱 COA：什么控制会降低攻击者在该阶段的有效性？
• 欺骗 COA：什么欺骗手段（蜜罐、金丝雀令牌）会暴露该阶段中的活动？
• 摧毁 COA：什么主动防御能力会使攻击者基础设施失效？

第 5 步：生成杀伤链分析报告

将发现整理为：

1. 攻击叙事（各阶段的时间线）
2. 逐阶段分析与证据
3. 检测点分析（哪些有效，哪些失败）
4. 按成本/效果排序的每个阶段的防御建议
5. 控制改进路线图

关键概念

术语	定义
杀伤链	对手入侵阶段的顺序模型；理论上，破坏任一环节即可阻止攻击
行动方案（COA）	映射到每个杀伤链阶段的防御响应：检测、拒绝、扰乱、削弱、欺骗、摧毁
信标行为	受感染主机向对手服务器定期、周期性发起的 C2 签到模式；可通过频率分析检测
阶段完成	对手成功完成一个杀伤链阶段并进入下一阶段；纵深防御旨在阻止这种情况
情报增益/损失	分析在第 5 阶段（而非第 3 阶段）检测是否减少了对对手能力或意图的情报

工具与系统

• MITRE ATT&CK Navigator：将杀伤链阶段与 ATT&CK 技术覆盖范围叠加，以进行综合分析
• Elastic Security EQL：事件查询语言，用于在 Elastic SIEM 中查询多阶段攻击序列
• Splunk ES：时间线可视化与关联搜索，用于杀伤链阶段排序
• MISP：通过 galaxy clusters 进行杀伤链标记，以结构化记录事件文档

常见陷阱

• 线性假设：对手并不总是线性推进——他们可能跳过阶段（武器化已在之前的行动中完成）或回环（检测后重新建立 C2）。
• 忽视第 1 和第 2 阶段：侦察和武器化发生在防御者具备可见性之前。关于这些阶段的情报需要外部来源（OSINT、威胁情报）。
• 遗漏内部威胁：杀伤链是为外部对手设计的。内部威胁可能直接跳到第 7 阶段，而不经过更早阶段。
• 与 ATT&CK 战术混淆：7 阶段杀伤链和 14 种 ATT&CK 战术是互补的，但并不直接等同。保持区分，以防分析混淆。