详解网络杀伤链

原创

小安伴你行
小安伴你行

小安伴你行

2026年10月27日 09:18
北京

去阅读

引言：为什么攻击者会“连环作案”

一次成功的网络攻击很少能“一步到位”，它更像一场环环相扣的连环作案：攻击者会先摸清目标情况、制作攻击工具、将工具投递到目标面前、突破我方防线、在目标系统内扎根、建立持续控制连接，最后才动手窃取成果、达成攻击目的。如果防守方只把注意力放在攻击的“最后一步”，往往要等到攻击者已经深入内部后才能反应过来，贻误了处置时机。网络杀伤链（Cyber Kill Chain）正是帮助我们把完整攻击拆解为若干环节的分析工具——只有理清攻击一步步推进的逻辑，才能判断应当在哪一环拦截阻断。

本培训材料面向公司全体员工以及参与攻防工作的相关人员，主要有三个培训目标：第一，讲清网络杀伤链的起源与核心思想；第二，逐环节讲解网络攻击推进的七个阶段，并给出每个阶段的检测与阻断思路；第三，介绍由杀伤链演化而来的MITRE ATT&CK、统一杀伤链等现代模型，以及员工个人如何结合“断链”思维守好自身岗位环节。请各位带着一个问题阅读本材料：如果攻击已经推进到第三步“投递”阶段，我的岗位能不能及时发现并完成阻断？

1  什么是网络杀伤链：起源与价值

1.1  起源：从军事概念到网络防御

网络杀伤链（Cyber Kill Chain）由美国军工企业洛克希德·马丁（Lockheed Martin）在2011年提出，该概念借鉴了军事领域“杀伤链”（发现—定位—跟踪—瞄准—攻击—评估）的作战思想，用于说明针对性网络攻击会沿着一系列有序阶段逐步推进，进而指导防守方在每个阶段部署对应的检测与阻断措施。它的设计初衷是防御性的：将防控措施对应到攻击的每个阶段，在攻击完全达成目标之前就完成发现和阻止。

1.2  核心思想：攻击是一条链，断一环即失败

杀伤链的核心洞察在于“链”这个比喻：攻击要取得成功，必须按顺序走完所有阶段，每一环都依赖前一环的成果；反过来，只要在任意一环成功阻断，整条攻击链条就会断裂，攻击也就宣告失败。越早完成断链，防守的代价越小，也越省力。这为防守方提供了一个清晰的策略方向：不需要追求面面俱到的全流程防御，只需要在关键环节实现“精准断链”即可。

1.3  杀伤链对防守的价值

对防守方而言，杀伤链的价值主要有三点：一是助力结构化理解，能够把复杂的攻击过程还原为可分析、可复盘的明确环节；二是支撑针对性布防，可围绕每个环节设计对应的检测与响应管控措施；三是提供统一协同话术，让安全团队、IT与业务岗位能够用同一套“链条语言”沟通攻防态势。准确理解攻击推进的逻辑，是开展有效防守的前提。

表1 网络杀伤链七阶段概览

2  七阶段详解：攻击如何一步步推进

2.1  侦察（Reconnaissance）

攻击的第一步是“踩点”，也就是攻击者搜集目标的技术栈、人员、资产、暴露面等各类信息，具体包括扫描互联网、分析公开资料、研究社交平台上的员工动态、收集邮箱与域名信息。当前阶段的侦察还大量借助自动化工具与人工智能技术开展。对防守方而言，这一阶段攻击者尚未接触核心系统，是最早也最省力的精准断链窗口，对应防守动作就是着力收敛暴露面、减少可被攻击者利用的公开信息。

2.2  武器化（Weaponization）

攻击者会将收集到的漏洞信息与恶意代码“组装”成可投递的攻击武器，例如制作嵌入漏洞利用代码的钓鱼文档，或是打包带有恶意载荷的可执行程序。这一阶段的活动发生在攻击者侧的环境中，防守方难以直接监测，但可以通过威胁情报识别已知的恶意样本家族，提前将其列入黑名单并更新对应检测规则。

2.3  投递（Delivery）

武器被“送达”目标，最常见的投递方式包括钓鱼邮件、恶意链接、被攻陷的网站，也可通过U盘等物理介质完成投递。这是防守方最有力的拦截节点之一，邮件网关、终端管控、浏览器防护以及人员安全意识防护，都能在这一环节发挥作用。员工遵守“不点陌生链接、不下载不明附件”的要求，本质就是在投递环节实现杀伤链阻断。

2.4  利用（Exploitation）

攻击武器在此阶段被触发，攻击者通过利用漏洞或诱导用户执行代码，获得目标系统上的初始执行权限。及时安装系统补丁、关闭不必要的功能、部署EDR（端点检测与响应），都是针对这一阶段的有效防护手段。一次成功的漏洞利用，往往建立在投递环节成功的基础上——因此前面每一个环节的阻断都有重要价值。

2.5  安装（Installation）

攻击者会在目标系统内“扎下根”，安装持久化机制（如计划任务、启动项、注册表项、系统服务），确保系统重启后攻击者仍能留存控制权，随时可再次访问目标系统。这一阶段的检测要点，是关注异常的持久化行为、敏感配置位置的改动以及完整性校验异常。一旦持久化机制建立完成，攻击就从“单次闯入”转变为“长期潜伏”。

2.6  命令与控制（Command and Control）

攻击者会与被控主机建立持续远程连接（即C2，Command and Control），用来下发攻击指令、窃取目标数据。这一阶段的流量会存在明显的网络特征，包括异常外连、加密隧道、规律通信节奏等。网络侧监控、行为分析、威胁情报联动，都是这一阶段的有效防护手段。一旦C2连接建立完成，攻击者就相当于掌握了被控主机的“遥控器”。

2.7  目标行动（Actions on Objectives）

作为杀伤链的最终阶段，攻击者会在此环节达成攻击目的，包括窃取数据、加密勒索、破坏系统、横向渗透等。这一阶段的防守成本最高，造成的损失也最大。数据防泄漏、访问控制、行为审计与快速应急响应，都是此阶段的主要防护手段。网络防守的理想状态是“向前断链”，越早阻断攻击链条效果越好，要尽量避免攻击发展到这一阶段。

表2 七阶段详解与检测阻断手段

3  从杀伤链到 ATT&CK：把“链”细化成“网”

3.1  MITRE ATT&CK：战术、技术、子技术与程序

传统杀伤链将攻击描述为一条线性链条，但在真实攻击场景中，攻击者会在同一阶段灵活组合多种手法、在不同阶段间反复跳转。MITRE推出的ATT&CK知识库（Adversarial Tactics, Techniques, and Common Knowledge），正是为了更细致地刻画这类攻击行为。ATT&CK从四个层级对攻击进行刻画：战术（Tactics，回答“为什么”，即攻击者要达成的阶段性目标）、技术（Techniques，回答“如何做”，即实现目标的具体动作）、子技术（更细粒度的行为描述）、程序（Procedures，真实攻击中的具体实现方式）。这套“战术—技术—程序”（TTPs）框架，已经成为安全行业描述、共享攻击行为的通用语言。

3.2  从“线性链条”到“可组合的战术网络”

ATT&CK将攻击梳理为一组相互独立的战术，而非必须按顺序走完的线性链条——攻击者可以从“初始访问”直接跳到“横向移动”，再绕回“权限提升”，各类技术可根据攻击需求灵活组合。以企业域为例，ATT&CK目前涵盖侦察、资源开发、初始访问、执行、持久化、权限提升、防御规避、凭据访问、发现、横向移动、收集、命令与控制、数据外渗、影响等十余类战术。这种“网络式”的刻画方式更贴近真实攻击的复杂性，也能帮助防守方按照技术单元精准部署防护。

3.3  三个技术域：企业、移动、ICS/OT

ATT&CK按照攻击者活动的技术环境，划分为企业（Enterprise）、移动（Mobile）、工业控制系统（ICS）三个技术域，覆盖从传统IT到移动端、再到工控OT的完整场景。企业数字化程度越深，业务场景越多元，就越需要攻防术语体系覆盖到每一类业务环境。

表3 ATT&CK 的构成要素

3.4  用 ATT&CK 描述 APT 与攻击行为

ATT&CK的价值在于“可检索、可映射”：安全团队可依据已知APT组织（高级持续性威胁组织）的TTPs建立检测规则，能够在事件响应过程中通过战术/技术编号（如TA0001 初始访问）快速定位攻击者所处的攻击环节，还可以将红蓝演练、威胁狩猎与检测覆盖范围按照ATT&CK矩阵逐一梳理排查，找到“未部署防护的空白点”。

4  模型的演进与局限

4.1  传统杀伤链的盲点

线性杀伤链擅长刻画从外部发起的定向攻击，但存在明显局限性：它更偏向描述一次性由外而内的渗透，对攻击者进入内网之后的横向移动、长期潜伏行为刻画不足，也难以描述不遵循该路径的内部威胁、供应链前置攻击等场景。真实攻击场景远比模型复杂得多，单一的线性模型无法覆盖所有情况。

4.2  统一杀伤链（Unified Kill Chain）

为弥合杀伤链与ATT&CK的不足，研究者保罗·波尔斯（Paul Pols）于2017年提出统一杀伤链，将洛克希德模型的杀伤链条与ATT&CK的战术融合为18个有序阶段，覆盖攻击在受保护网络内外发生的完整过程，弥补了传统杀伤链覆盖范围有限、以及ATT&CK战术“不分先后顺序”的缺陷。统一杀伤链既能明确“攻击当前处于哪个阶段”，又可借助ATT&CK的技术细节对该阶段进行刻画。

4.3  Diamond Model 与互补

除杀伤链与ATT&CK之外，钻石模型（Diamond Model）是从“攻击者、能力、基础设施、受害者”四个核心要素以及要素间的关系维度分析攻击事件，侧重应用于战略情报层面；统一杀伤链偏向梳理战术时间线，ATT&CK则偏向刻画战术细节。三者的定位存在互补性：杀伤链提供结构化防御框架，ATT&CK提供可落地的战术细节，钻石模型提供战略分析视角，在安全实践中往往会组合使用。

4.4  模型演进给防守的启示

模型演进带来三条防守启示：一是“向前拦截”，将防御重心从“目标核心行动”前移至侦察、投递等攻击早期阶段；二是“横向防控”，正视内网横向移动和攻击者长期潜伏问题，强化分段隔离、最小权限管控与异常行为检测；三是“以ATT&CK为通用语言”，使威胁检测、攻防演练、应急响应、情报共享都能在同一套战术框架下开展。模型本身并非终极答案，而是帮助我们发现“哪里没守住”的分析工具。

表4 三种攻击模型对比

5  用杀伤链指导实战防御

5.1  分阶段设防：在链的每一环节布控

实战防御的第一步，是将攻防资源按照杀伤链的各个阶段进行部署：在侦察阶段收敛资产与暴露面，减少可被攻击者利用的公开信息；在投递阶段通过邮件防护与终端防护拦截钓鱼邮件和恶意载荷；在利用阶段及时安装补丁、启用EDR；在安装与C2阶段监控持久化行为与异常外联；在目标行动阶段布设数据防泄漏体系并启动快速响应机制。在每一个环节都设置关卡，攻击者就难以推进攻击流程。

5.2  关键拦截点：侦察、投递、利用、C2

近二十年实战经验表明，绝大多数攻击都可在四个关键环节被有效截断：侦察阶段（攻击者仍处于踩点阶段，收敛暴露面即可大幅抬高攻击成本）、投递阶段（拦截钓鱼内容与恶意载荷，同时提升员工警惕性避免误点）、利用阶段（通过补丁修复与EDR防护，阻断漏洞利用流程）、C2阶段（及时发现并切断异常外联，让攻击者失去远程控制的“遥控器”）。拦截行动开展得越早，整体防御成本就越低。

5.3  用 ATT&CK 做红蓝演练、威胁狩猎与检测

在实战中落地ATT&CK应用可从三方面推进：红蓝演练环节以战术矩阵为蓝本设计攻防场景，逐格验证检测能力的覆盖范围；威胁狩猎环节针对初始访问、凭据访问、横向移动等高频战术，主动搜寻未触发告警的可疑行为；检测规则以战术、技术为粒度落地，避免出现“有工具无规则、有告警无人查”的管理缺口。演练中暴露的能力空白区域，就是下一阶段的补防清单。

5.4  全员视角：员工在哪一环守

杀伤链防护从来都不只是安全团队的事。对每一位企业员工而言：不点击陌生链接与附件，就是在“投递”环节截断攻击链路；不将敏感数据外发，或是上传至未授权服务，就是在“目标行动”环节守住核心成果；发现异常情况第一时间上报，就是帮助安全团队在“安装”或“C2”阶段早期截断攻击。员工的每一次正确操作，都有可能直接切断整条攻击链路。

表5 员工结合杀伤链的守线动作

结语：断链，就是胜利

网络杀伤链告诉我们：攻击不是一次孤立的“入侵”，而是有预谋、分步骤的逐步推进；防守也不需要在每一个环节都做到万无一失，只要在任意一个关键环节成功“断链”，整场攻击就宣告失败。理清七阶段框架，是读懂攻击逻辑的第一步；借助ATT&CK和统一杀伤链细化防御动作、统一各方话术，是把理论理解转化为实战能力的一步；而每一位员工在投递、利用、C2等环节的一次次正确操作，才是让断链从理论落地为现实的关键一步。请把本材料中的防护动作落实到日常工作中：收敛暴露面、不点陌生链接、守好数据与账号、发现异常及时上报。断链，就是胜利。