網絡攻擊鏈

信息安全入侵攻擊鏈

網絡攻擊鏈是指攻擊者實施網絡攻擊的過程。 洛克希德·馬丁公司將「殺傷鏈」的概念從軍事領域應用於信息安全領域，將其作為一種對計算機網絡入侵進行建模的方法。 網絡攻擊鏈模型在信息安全界得到了一些應用。 然而，它並沒有被普遍接受，批評者指出了他們認為該模型存在的根本缺陷。

攻擊階段與對策

2011年，洛克希德·馬丁公司的計算機科學家描述了一種新的「入侵攻擊鏈」框架或模型，用於防禦計算機網絡。 他們寫道，攻擊可能分階段發生，並且可以通過在每個階段建立的控制措施來阻止。從那時起，數據安全組織就採用了「網絡攻擊鏈」來定義網絡攻擊的各個階段。

網絡攻擊鏈揭示了網絡攻擊的各個階段：從早期的偵察到數據竊取的目標。 攻擊鏈還可以用作管理工具，幫助持續改進網絡防禦。根據洛克希德·馬丁公司的說法，威脅必須經過該模型中的幾個階段，包括：

1. 偵察：入侵者選擇目標，對其進行研究，並試圖識別目標網絡中的漏洞。
2. 武器化：入侵者創建針對一個或多個漏洞量身定製的遠程訪問惡意軟體武器，例如病毒或蠕蟲。
3. 傳遞：入侵者將武器傳輸到目標（例如，通過電子郵件附件、網站或U盤）。
4. 利用：惡意軟體武器的程序代碼觸發，對目標網絡採取行動以利用漏洞。
5. 安裝：惡意軟體武器安裝一個入侵者可以使用的訪問點（例如「後門」）。
6. 命令與控制：惡意軟體使入侵者能夠對目標網絡進行「鍵盤操作」的持續訪問。
7. 目標行動：入侵者採取行動實現其目標，例如數據竊取、數據破壞或加密以進行勒索。

可以針對這些階段採取防禦性行動：

1. 檢測：確定入侵者是否存在。
2. 拒絕：防止信息洩露和未經授權的訪問。
3. 中斷：停止或更改出站流量（到攻擊者）。
4. 降級：反擊命令和控制。
5. 欺騙：干擾命令和控制。
6. 遏制：網段更改。

美國參議院對2013年塔吉特公司數據洩露事件的調查包括基於洛克希德·馬丁攻擊鏈框架的分析。它確定了控制措施未能阻止或檢測到攻擊進展的幾個階段。

替代方案

不同的組織已經構建了自己的攻擊鏈，試圖對不同的威脅進行建模。FireEye提出了一種類似於洛克希德·馬丁公司的線性模型。在FireEye的攻擊鏈中，威脅的持久性得到了強調。該模型強調，威脅不會在一個周期後結束。

1. 偵察：這是攻擊者收集有關目標系統或網絡信息的初始階段。這可能包括掃描漏洞、研究潛在的入口點以及識別組織內的潛在目標。
2. 初始入侵：一旦攻擊者收集到足夠的信息，他們就會試圖入侵目標系統或網絡。這可能包括利用軟體或系統中的漏洞，利用社會工程技術欺騙用戶，或使用其他方法獲得初始訪問權限。
3. 建立後門：在獲得初始訪問權限後，攻擊者通常會創建一個後門或一個進入受感染系統的持久入口點。這確保了即使初始入侵被發現和緩解，攻擊者仍然可以重新獲得訪問權限。
4. 獲取用戶憑據：在系統中立足後，攻擊者可能會試圖竊取用戶憑據。這可能涉及諸如鍵盤記錄、網絡釣魚或利用弱身份驗證機制等技術。
5. 安裝各種實用程序：攻擊者可能會在受感染的系統上安裝各種工具、實用程序或惡意軟體，以方便進一步的移動、數據收集或控制。這些工具可能包括遠程訪問木馬（RAT）、鍵盤記錄程序和其他類型的惡意軟體。
6. 權限提升/橫向移動/數據竊取：一旦進入系統，攻擊者就會尋求提升其權限，以獲得對網絡的更多控制權。他們可能會在網絡內橫向移動，試圖訪問更有價值的系統或敏感數據。數據竊取涉及竊取並將有價值的信息傳輸到網絡之外。
7. 維持持久性：此階段強調攻擊者的目標是在受感染的環境中保持長期存在。他們通過不斷逃避檢測、更新其工具以及適應任何安全措施來做到這一點。

批評

對洛克希德·馬丁公司的網絡攻擊鏈模型作為威脅評估和預防工具的批評之一是，第一階段發生在被防禦網絡之外，因此難以識別或防禦這些階段的行動。 同樣，據說這種方法強化了傳統的基於邊界和惡意軟體預防的防禦策略。 其他人則指出，傳統的網絡攻擊鏈不適合對內部威脅進行建模。 考慮到成功入侵內部網絡邊界的攻擊的可能性，這一點尤其令人擔憂，這就是為什麼組織「需要制定一項應對防火牆內攻擊者的策略。他們需要將每個攻擊者都視為潛在的內部人員」。

統一攻擊鏈

統一攻擊鏈由18個獨特的攻擊階段組成，這些階段可能發生在高級網絡攻擊中。

統一攻擊鏈是由Paul Pols在2017年與Fox-IT和萊頓大學合作開發的，旨在通過整合和擴展洛克希德·馬丁公司的攻擊鏈和MITRE的ATT&CK框架（兩者都基於James Tubberville和Joe Vest構建的「進入、停留和行動」模型）來克服對傳統網絡攻擊鏈的常見批評。統一版本的攻擊鏈是由18個獨特的攻擊階段組成的有序排列，這些階段可能發生在端到端的網絡攻擊中，涵蓋了在防禦網絡之外和內部發生的活動。因此，統一攻擊鏈改進了傳統攻擊鏈的範圍限制和MITRE的ATT&CK中戰術的時間不可知性。統一模型可用於分析、比較和防禦高級持續性威脅（APT）發起的端到端網絡攻擊。 2021年，Paul Pols發表了關於統一攻擊鏈的後續白皮書。

擴展閱讀

• Skopik, Florian; Pahi, Timea. Under false flag: using technical artifacts for cyber attack attribution. Cybersecurity. 2020, 3 (1): 8. ISSN 2523-3246. doi:10.1186/s42400-020-00048-4  （英語）.