网络攻击的定义
网络攻击 是指攻击者利用漏洞、配置缺陷或人为弱点，针对计算机系统、网络设备、应用程序或数据发起的**恶意行为**，旨在破坏 **CIA 三要素**：机密性、完整性、可用性。
攻击的两大基本范式
| 维度 | 主动攻击 | 被动攻击 |
|---|---|---|
| 定义 | 修改、破坏、中断系统资源或数据 | 窃听、监控、分析数据流，不修改资源 |
| 影响 | 直接破坏 Integrity, Availability | 破坏 Confidentiality |
| 可检测性 | 较易发现 (日志、告警、服务异常) | 极难发现 (不留痕迹) |
| 典型例子 | DoS/DDoS, Malware, Ransomware, SQLi, 篡改数据, 中间人篡改 | 流量嗅探, 端口扫描, 密码离线破解, 侧信道攻击, 电磁辐射分析 |
| 防御重点 | 防火墙、IPS、EDR、补丁、备份、隔离 | 加密 (TLS/IPsec/MACsec)、物理安全、TEMPEST、最小权限、审计 |
按攻击目标分类 (MITRE ATT&CK 战术视角)
- Initial Access (初始访问): Phishing, Exploit Public-Facing App, Valid Accounts, Drive-by Compromise, Supply Chain
- Execution (执行): Command/Script Interpreter, Scheduled Task, WMI, User Execution
- Persistence (持久化): Registry Run Keys, Scheduled Tasks, Services, Bootkit, Web Shell
- Privilege Escalation (权限提升): Exploit Vulnerability, Token Impersonation, Bypass UAC, Sudo Abuse
- Defense Evasion (防御规避): Obfuscation, Process Injection, Rootkit, Disable Security Tools, Timestamp Stomping
- Credential Access (凭证获取): OS Credential Dumping (LSASS), Keylogging, Brute Force, Credential Stuffing, Pass-the-Hash
- Discovery (发现): Network Scanning, System Info, Permission Groups, Cloud Resource Enumeration
- Lateral Movement (横向移动): Pass-the-Hash/Ticket, RDP/SSH, SMB/Admin$, DCOM, WMI, SSH Hijacking
- Collection (收集): Data from Local/Network/Cloud, Email Collection, Clipboard, Audio/Video Capture
- Command & Control (C2): DNS/HTTP/HTTPS/TCP/TLS Tunneling, Domain Fronting, Fast Flux, Dead Drop Resolver
- Exfiltration (数据窃取): Exfil over C2/Web/Email/Physical, Automated Exfil, Data Compressed/Encrypted
- Impact (影响): Ransomware, Data Destruction, Disk Wipe, Service Stop, Defacement, Resource Hijacking (Cryptojacking)
常见具体攻击技术详解
1. 恶意软件
- Ransomware: 加密文件勒索 (Double/Triple Extortion: 加密+威胁泄露+DDoS)
- Wiper: 纯破坏数据不勒索 (NotPetya, Shamoon)
- RAT (Remote Access Trojan): 完全远程控制 (Cobalt Strike Beacon, Sliver, Metasploit Meterpreter)
- Cryptojacking: 偷算力挖矿 (XMRig)
- Supply Chain Malware: 编译/分发环节植入 (SolarWinds, 3CX, event-stream)
2. 网络层攻击
- DDoS: Volumetric (UDP/TCP Flood), Protocol (SYN Flood), Application (HTTP Flood, Slowloris)
- MitM: ARP Spoofing, DNS Spoofing, BGP Hijacking, SSL Stripping, Rogue AP/Evil Twin
- DNS Tunneling: 编码数据在 DNS 查询/响应中传出 (绕过防火墙)
- Route Hijacking/Leaks: BGP 劫持重定向流量
3. 应用层攻击 (OWASP Top 10)
- Injection (SQLi, NoSQLi, LDAPi, Command Injection): 未过滤输入拼接执行
- Broken Access Control: IDOR, 提权, 目录遍历
- XSS (Stored/Reflected/DOM): 脚本注入窃取 Session/凭证
- Insecure Design / Crypto Failures: 逻辑缺陷、弱加密、硬编码密钥
- SSRF (Server-Side Request Forgery): 诱导服务端访问内部资源 (Capital One 案例)
4. 凭证与身份攻击
- Phishing/Spear Phishing/Whaling/BEC: 社工欺骗，AI 生成深度伪造
- Credential Stuffing: 撞库 (泄露库 + 自动化工具)
- Password Spray: 少量弱密码试大量账号 (规避锁定)
- Kerberos 攻击: Golden/Silver Ticket, Kerberoasting, AS-REP Roasting
- MFA 绕过: MFA Fatigue (推送轰炸), Token 窃取, SIM Swap, Recovery Code 滥用
5. 高级持续威胁 (APT)
- 特点: 目标明确、资源丰富、长周期 (月/年)、多阶段、反取证、零日利用
- 典型组织: 国家级 (APT28/29, Lazarus, APT41, Equation Group) / 犯罪集团 (FIN7, Carbanak)
- 生命周期: 侦察 → 武器化 → 投递 → 利用 → 安装 → C2 → 行动 → 清理痕迹
攻击面 vs 攻击向量 vs 攻击路径
- Attack Surface (攻击面): 所有可能被利用的入口点总和 (开放端口、Web 应用、API、VPN、邮件、人员、供应链、物理接口)
- Attack Vector (攻击向量): 具体利用的路径/手段 (如: CVE-2021-44228 Log4Shell RCE)
- Attack Path (攻击路径): 从初始入口到达核心资产的完整链条 (Graph-based 分析)
防御对策映射 (Defense in Depth)
| 攻击阶段 | 预防/检测/响应控制 |
|---|---|
| Recon / Initial Access | 资产暴露面管理 (EASM), WAF, 邮件网关, MFA, 补丁管理, 网络分段, 零信任网络访问 (ZTNA) |
| Execution / Persistence | EDR/XDR, 应用白名单 (AppLocker/WDAC), 脚本限制 (PowerShell CLM), 只读根文件系统, 容器镜像签名 |
| Privilege Escalation / Credential Access | 最小权限, PAM (特权访问管理), LSASS 保护 (RunAsPPL, Credential Guard), 无密码认证 (FIDO2, Windows Hello), 定期轮换 |
| Discovery / Lateral Movement | 网络分段/微隔离, 防火墙东西向策略, SMB 签名强制, 禁用 NTLM, 仅允许 Kerberos, 网络流量分析 (NDR/Zeek) |
| C2 / Exfiltration | DNS 过滤/加密 DNS (DoH/DoT), 代理/防火墙出站控制, DLP, TLS 解密检查, 流量基线异常检测 |
| Impact | 离线/不可变备份, 恢复演练, 勒索软件蜜罐/诱饵, 网络隔离开关, 业务连续性计划 (BCP/DRP) |
新兴攻击趋势 (2024+)
- AI 增强攻击: 自动化漏洞挖掘、钓鱼邮件/深度伪造生成、多态恶意代码、对抗样本绕过检测
- 身份为中心攻击: Okta/Entra ID/云身份提供商成核心目标，Token 窃取、会话劫持、MFA 疲劳
- 云原生攻击: 容器逃逸、K8s RBAC 滥用、元数据服务 SSRF、供应链 (镜像、IaC、Pipeline)
- 勒索软件即服务: 低门槛、分工细化、多重勒索、针对备份/快照
- OT/ICS 定向攻击: 工控协议 (Modbus, DNP3, OPC UA) 漏洞、IT/OT 融合带来的横向移动
总结
网络攻击是**有目的、有组织、有工具**的恶意行为，贯穿 MITRE ATT&CK 全战术矩阵。防御不能靠单一产品，必须构建 **识别-防护-检测-响应-恢复** 闭环 (NIST CSF)，核心原则：**最小权限、零信任、纵深防御、持续验证、假设失陷**。安全团队要从"防攻击"转向"建韧性" — 让攻击者**进得来、动不了、拿不走、留得住证据、恢复快**。
