APT 攻击如何绕过边界防护

原创

小安伴你行
小安伴你行

小安伴你行

2026年10月29日 09:18
北京

去阅读

引言：为什么“防火墙一挡”不再够用

在多数人的认知中，网络边界是一道“墙”：防火墙拦截外部威胁，杀毒软件清除内部风险，只要守住边界就能保障安全。但高级持续性威胁（APT）的攻击实践早已证明，这道“墙”完全可以被绕过——攻击者不是翻墙突破，而是借道“人员”“供应商”“合法通道”，甚至是“被信任的内部主体”。当攻击者披着“合规合法”的外衣穿过边界时，防火墙再严密也无法阻拦。本材料要回答的问题十分明确：APT究竟是如何绕过边界防护的？边界防护失效后，我们又该依靠什么守住网络安全？

本文档面向公司全体员工及攻防相关人员，设定了三个目标：第一，讲清APT的基本概念，明确传统边界防护的逻辑假设存在哪些漏洞；第二，拆解APT绕过边界防护的五种典型手法，结合真实案例还原“过墙”的完整过程；第三，给出边界失效后的防御体系重构路径——从纵深防御到零信任架构，同时明确每位员工在APT攻防防护中应当承担的角色。请各位带着一个问题阅读本文：如果攻击者借由我经手的合法通道侵入内网，我能否及时察觉并成功拦截？

1  什么是 APT：高级持续性威胁

1.1  APT 的定义与特征

APT（Advanced Persistent Threat，高级持续性威胁），指的是由组织化、资源充足的攻击者（多为国家支持的黑客组织或有组织犯罪团伙）发起的高度针对性攻击，名称中的三个关键词各有明确指向：“高级”指攻击者手段专业，会使用定制化攻击工具与零日漏洞，而非普通通用工具；“持续”指攻击者会长期潜伏，不断拓展并维持访问权限，行动周期以月甚至年为单位；“威胁”指攻击带有明确的动机与目标，包括窃密、破坏、勒索、间谍活动等。APT攻击往往不追求“一击得手”，而是以“打进去、留下来、慢慢挖”为核心目标。

1.2  边界防护的假设与 APT 的对抗

边界防护之所以会“失效”，根源在于防护逻辑的前提假设错位：边界防护的默认逻辑是“外网不可信、内网可信，守住入口即可保障安全”，而APT恰恰从不试图“硬闯入口”——它会通过钓鱼邮件骗取用户开门、借助供应链混入系统更新、利用合法隧道伪装攻击流量、盗用内部凭据冒充合法用户。攻击者并非突破边界，而是直接“绕过”了边界。理解这一点，是重构网络防御体系的前提。

表1 APT 与传统攻击的对比

2  边界防护是什么：它凭什么拦攻击

2.1  传统边界防护体系

传统边界防护是一套以“网络出入口”为核心的防护体系：防火墙按照预设规则放行或阻断进出流量；入侵检测与防御系统（IDS/IPS）识别并拦截带有恶意特征的流量；DMZ区实现对外服务与内网的隔离；邮件网关与Web网关过滤钓鱼邮件和恶意内容。这套体系的核心逻辑是将“外部威胁”阻挡在网络入口之外，默认将内部网络视作相对可信的区域。

2.2  边界防御的根本假设

所有边界防御都建立在同一个隐含假设之上，那就是“内外有别”：防火墙以内的网络内部是可信区域，只有网络外部才会产生威胁。只要守住入口、按规则放行流量，内部网络就基本安全。这一假设在“公司有物理围墙、设备部署在内网、员工固定在工位办公”的传统网络时代，大体上是成立的。

2.3  假设为何正在崩塌

如今，这一假设正被五个发展趋势逐步瓦解：一是云计算让数据与业务分散部署在多个传统“边界”之外；二是移动办公与远程接入让“内网”的概念无处不在；三是开放供应链合作让第三方软件与更新成为攻击者混入内网的通道；四是身份与访问凭据成为攻击者更青睐的突破口；五是各类安全产品本身也存在被攻陷的可能。当“内部”不再边界清晰时，仅靠一道入口防火墙已经无法定义何为“可信”。

表2 传统边界防护的构成

3  APT 如何绕过边界：五大“过墙术”

3.1  借道“人”：钓鱼与社会工程

最常见也最有效的APT绕过边界防护的方式，是让用户自己打开网络入口。定向钓鱼、水坑攻击，即预先在目标用户常访问的网站投放恶意代码，以及伪装成合法文档或通知，都是“借道于人”的典型手段。其中，水坑攻击会先入侵或注册和目标业务相关的站点，利用用户正常访问触发恶意载荷，从而绕过邮件与Web网关的检测；社会工程攻击则直接利用人性弱点攻破人的判断力，诱使受害者主动点击链接、输入信息甚至转账。因此，人员始终是边界防护中最容易被攻击者利用“借道”的一环。

3.2  借道“供应商”：供应链攻击

攻击者不会直接攻击目标本身，而是选择攻击目标的上游环节，比如软件供应商、服务商以及更新通道。在经典的SolarWinds事件中，被指认为APT29的攻击者将恶意代码注入SolarWinds Orion软件的构建流程，这份被感染的更新随着正常的软件升级分发到了全球数千家机构，用户在“信任供应商更新”的前提下主动引入了后门。供应链攻击的本质，是将“边界之外”的攻击伪装成“边界之内”的可信更新，从源头就让边界防护失去了作用。

3.3  借道“合法通道”：隧道与隐蔽 C2

攻击者入侵内网后，通常会借助“合法通道”维持与指挥控制端的联系并传输数据。近年来这类手法持续升级：攻击者利用Cloudflare Tunnels、Microsoft devtunnels等云隧道服务隐藏命令与控制（C2）服务器，让恶意外连流量看起来和正常云服务流量别无二致；还会借助Telegram、Dropbox等平台搭建“死信箱”（dead drop）中转攻击指令；甚至会将C2逻辑编写为区块链上的智能合约，让攻击通信和正常的区块链交易难以区分。这类手法能够得逞的核心原因，正是边界防火墙无法从原生流量本身区分恶意行为与合法行为。

3.4  借道“零日与混淆”：漏洞利用与变形

面对依靠已知特征签名做拦截的边界防护，APT攻击者会使用零日漏洞——也就是尚未公开、既无补丁也无攻击特征的漏洞，或是对恶意代码做混淆、变形、分阶段加载处理，让特征检测机制直接失效；此外攻击者还会滥用系统原生功能，比如Windows搜索协议、命令行工具实现“无文件”攻击，绕过终端侧的文件检测机制。边界防护的核心逻辑依赖“已知特征”建立拦截规则，而APT使用的攻击武器往往都是“未知”的，恰好可以避开检测。

3.5  借道“被信任的边界”：合法凭据与横向跳板

这类绕过方式是最难防范的：攻击者会通过口令喷洒、令牌窃取、API滥用等方式获取合法账号，拿到“自己人”的访问凭据，再以“被信任的内部身份”直接越过边界防线。一旦攻击者获得合法身份，防火墙能观测到的也只是“正常员工”在进行正常访问。攻击者进入内部后的横向移动与长期潜伏，恰恰是传统边界防护的盲区。

表3 APT 绕过边界的五大手法与典型案例

4  用真实案例看懂“绕墙”全过程

4.1  SolarWinds 供应链攻击（APT29）

2020年12月被曝光的SolarWinds事件，是全球范围内最具标志性的供应链攻击案例之一。根据MITRE ATT&CK的战役记录，被判定为APT29的攻击者，将定制化的恶意软件SUNBURST——也就是一个被植入木马的Orion更新DLL——注入SolarWinds Orion软件的构建流程，随后依托正常的软件更新渠道完成分发；攻击者还通过口令喷洒、令牌窃取、API滥用、定向钓鱼等多种方式窃取合法账号，再借助这些账号扩大攻击成果。数千家部署了Orion平台的机构都因为信任来自供应商的正常更新遭到攻陷。这次攻击的防守教训是：将第三方软件更新默认为“可信内容”，正是这条边界防线最大的漏洞。

4.2  水坑/搜索投毒攻击（Water Gamayun）

Zscaler威胁研究披露的Water Gamayun攻击，展示了“借道正常站点”的典型攻击路径：攻击者先攻陷一个正常业务网站，再将访问该站点的受害者重定向到仿冒域名，诱骗用户下载伪装成PDF文件的双扩展名RAR压缩包，以此完成初始感染。用户通过搜索引擎正常检索，访问到“看起来合规正常”的网站，往往会在毫无察觉的情况下落入攻击者预设的陷阱。这次攻击对应的防守教训是：邮件网关可以拦截特征明显的钓鱼攻击，却防不住这类“在正常访问路径中投毒”的入侵方式。

4.3  隧道与“死信箱”隐蔽 C2（Gamaredon）

据安全研究机构分析，Gamaredon组织的攻击基础设施在2025年出现了显著演变：攻击者将C2服务器隐藏在Cloudflare Tunnels、Cloudflare Workers、Microsoft devtunnels等隧道服务之后，利用Telegram、Telegra.ph、Dropbox等平台搭建“死信箱”解析指令，窃取的数据则被外渗到兼容S3协议的存储服务中。攻击者的所有通信都“借用”合法云服务完成，因此边界防火墙只能观测到正常的HTTPS云流量，无法识别异常。对应的防守教训是：网络侧防护需要重点关注“行为异常”，而非仅依赖“流量特征”识别攻击，同时还要加强对企业内部云服务使用行为的管控。

4.4  区块链智能合约 C2（TeamPCP 等）

更极致的隐蔽攻击手法，是将C2逻辑部署在去中心化的区块链上。据安全内参对TeamPCP组织的分析，该组织利用ICP区块链的智能合约（Canister）充当C2服务器，恶意代码通过与智能合约的标准API交互获取指令、上传窃取的数据，这类通信从表面来看和正常的区块链交易没有区别，极难被安全设备识别和封堵。对应的防守教训是：对抗这类“披着合法外衣”的C2攻击，需要更主动的威胁情报支撑、行为分析与威胁狩猎能力，不能仅依赖边界防护规则完成拦截。

表4 案例拆解：攻击方式与防守教训

5  边界失效后，如何重构防线

5.1  从“边界防御”到“纵深防御”

既然“单道防火墙”无法阻挡APT攻击，我们就应当放弃对单一入口防护的依赖，转向构建纵深防御体系。NIST提出的思路是：不再仅依靠“边界”这单一维度防护，而是搭建三维互补的防御体系——第一维是渗透抵抗架构，目的是提升攻击入侵的难度；第二维是损害控制运行，即便边界被突破也能限制攻击横向扩散；第三维是支撑网络韧性与生存能力的系统设计，保障业务在遇袭后可以快速恢复。纵深防御的核心，是把防线从“一道墙”升级为“一层接一层”的多层防护，即便某一层防线被绕过，下一层仍然可以完成拦截。

5.2  从“边界信任”到“零信任”

零信任架构正是针对“内网即可信”这一传统假设的彻底颠覆。NIST SP 800-207标准明确了零信任的三条核心原则：第一是显式验证，即对每一次访问都要验证身份、设备与访问上下文；第二是最小特权，仅为用户授予完成任务所需的最小权限；第三是假定泄露，不再默认内部网络流量全部可信，将每一次访问请求都视作潜在风险处理。零信任将信任判断的依据从“访问主体在网络中的位置”转变为“持续动态的身份验证”，正是针对APT“借道内部凭据”这类边界绕过手法的直接应对方案。

5.3  在“绕过边界”之后拦截

APT攻击者总有办法突破某一层防线，因此防御必须延伸到安全边界之内：在端点层部署EDR，检测攻击利用与持久化行为；在身份层强化身份与访问管理，监测异常登录与令牌滥用行为；在数据层落实数据防泄漏与敏感数据管控；在内网层实施分段隔离，开展横向移动检测与异常外联监控。以MITRE ATT&CK的战术-技术框架为统一标准，将检测、狩猎、响应能力覆盖到每一层防御，找出尚未布防的空白区域。

5.4  全员防线：员工在 APT 攻防中的角色

APT最常利用的突破口就是“人”，因此人也是防御体系重构中最关键的一环。每位员工的规范操作，都能堵住一类APT的“过墙”途径：核实发件人身份与链接来源，防范钓鱼攻击与恶意投递；不将敏感数据外发，也不把敏感数据上传到未授权服务，避免数据被借道泄露；及时更新系统补丁，降低攻击者利用漏洞成功入侵的概率；发现异常登录、异常外联或可疑程序后立即上报，帮助安全团队在攻击早期切断攻击链路。边界或许会被绕过，但员工每一次正确的判断，都会让攻击者付出更高的入侵成本。

表5 员工应对 APT 的守线动作

结语：边界不是一道墙，而是“一层又一层”

APT攻击的实战告诉我们：网络边界从来不是一道能一劳永逸的墙，而是由多层防护构成、需要持续加固的防御体系。攻击者会通过人员、供应商、合法通道、内部凭据等多种路径“绕墙”入侵，仅依靠入口防护根本无法阻挡；真正有效的解决方案，是将防御体系从“边界防御”升级为“纵深防御”，用零信任架构取代“内网即可信”的传统假设，同时把端点、身份、数据、内网等每一层都纳入监控与响应范围。除此之外，每位员工都是这条防线上最活跃、也最关键的节点——你的每一次核实、不点击可疑链接、守护好账号权限、及时上报异常，都会让攻击者多一道阻碍，多付出一分成本。边界或许会被绕过，但整体防线不会失守。