基于网络攻击链的安全防护思考

网络空间是一个没有硝烟的战场，任何组织和机构在网络空间内都是渺小和脆弱的个体，网络攻击的来源无法确定，发起攻击的时间不可预见，要在这个战场中安稳生存实属不易。所幸的是，网络攻击的手段都是类似的，有规律可循的。

美国最大的军火商洛克希德马丁公司（Lockheed Martin）提出的“网络攻击链”（ Cyber Kill
Chain）模型，也被称为“网络杀伤链”模型，其描述了一次完整的网络攻击需要经历七个阶段，如图所示：

图1:“网络攻击链”模型

侦查目标(Reconnaissance)：侦查目标，充分利用社会工程学了解目标网络。

制作工具(Weaponization)：主要是指制作定向攻击工具，例如带有恶意代码的pdf文件或office文件。

传送工具(Delivery)：输送攻击工具到目标系统上，常用的手法包括邮件的附件、网站（挂马）、U盘等。

触发工具(Exploitation)：利用目标系统的应用或操作系统漏洞，在目标系统触发攻击工具运行。

安装木马(Installation)：远程控制程序（特马）的安装，使得攻击者可以长期潜伏在目标系统中。

建立连接(Command and Control)：与互联网控制器服务器建立一个C2信道。

执行攻击(Actions on Objectives)：执行所需要得攻击行为，例如偷取信息、篡改信息等。

“网络攻击链”模型认为任何网络攻击都可以对应到上述七个步骤中，分析该模型每个步骤可能使用的攻击方法，可以为网络安全保障人员提供针对各个攻击环节的防护思路，建立精准、完整的网络安全防护体系，减少网络攻击给组织或机构带来的损失。

##** 1.侦查目标(Reconnaissance)**

在军事对抗中，情报是制定谋略的基础，一招制胜的前提。兵法有云，“知己知彼，百战不殆”，官渡之战中，曹军利用信息优势掌控战局，精准定位袁军的薄弱点，对乌巢粮仓发动奇袭，一举攻破要害，以少胜多。在网络战场中，入侵的第一步也是侦查目标，攻击者会从各种渠道收集入侵目标的信息，绘制目标画像和信息拓扑，寻找目标的弱点，制定入侵策略。

常见的目标侦查手段例举如下：

通过Googlehacking或爬虫工具收集目标暴露在互联网的敏感信息，如企业架构、员工邮箱、采购信息、泄密文件等；

通过Rayspace、Shodan、Fofa、Zoomeye等专业的网络空间资产探测工具收集目标的互联网资产信息，如在线设备、网站、应用系统及其使用的服务和组件等信息；

通过站长工具、爱站、微步在线等工具查询目标的whois信息，包括目标相关域名的IP以及所有者信息等；

通过Nmap、Ping、Dnsmap、Nslookup等工具，收集目标网络空间资产的状态信息、属性信息、关联信息等；

通过Github、GitLab、BitBucket等源代码托管平台，收集目标及其关联系统的源码信息；

利用社会工程学方法，通过客服电话、人员潜入、社工库查询等方式，获取目标相关信息。

攻击者收集目标信息的方法远不止上文所述，组织和机构面对来自多角度、多方式的信息侦查，可以通过以下防御措施降低安全风险࿱