什么是 Cyber Kill Chain？

  • Cyber Kill Chain（网络杀伤链） 是一个把复杂网络攻击拆成若干阶段（链条）来理解与防御的模型，最早由 Lockheed Martin 提出。把攻击流程分成阶段，有助于防守方在早期发现并中断攻击，从而减少损失。常见的传统阶段（Lockheed Martin 版本）如下：

  1. Reconnaissance（侦察）：收集目标信息（公开资料、扫描、社交工程等）。

  2. Weaponization（武器化）：攻击者将漏洞利用或恶意负载和投递载体（如钓鱼邮件附件）打包。

  3. Delivery（投递）：把恶意载体发送到目标（邮件、网页、可移动介质等）。

  4. Exploitation（利用）：触发漏洞/执行恶意代码。

  5. Installation（安装）：在目标上安装持久性后门或恶意程序。

  6. Command & Control（指挥与控制，C2）：被控主机与攻击者的服务器建立通信。

  7. Actions on Objectives（达成目的）：横向移动、数据窃取、破坏、勒索等实际损害行为。

  • 补充：现在很多防御团队会把 Kill Chain 与 MITRE ATT&CK 框架结合使用——ATT&CK 提供更细致的对手技术（TTPs）映射，便于检测与响应。

哪些工具/系统会“使用”或基于 Kill Chain 的思路？

  • 严格说，很多安全产品并不是“直接实现 Kill Chain”，而是以 Kill Chain 思路作为检测/响应的架构或分类方法。下面按用途列出常见类别与具体代表（示例）：
  1. 安全信息与事件管理（SIEM）

  • 用途：聚合日志、关联事件、把检测线索映射到 Kill Chain 阶段以触发告警与调查。

  • 示例：Splunk、IBM QRadar、Elastic SIEM、Microsoft Sentinel。

  1. 端点检测与响应（EDR）

  • 用途：检测利用、安装、横向移动等阶段的行为；阻断恶意进程/持久化。

  • 示例：CrowdStrike Falcon、Microsoft Defender for Endpoint、SentinelOne、VMware Carbon Black。

  1. 入侵检测/防御系统（IDS/IPS） 与 网络流量监测（NDR）

  • 用途：检测投递（钓鱼附件/恶意下载）、C2 流量和横向流量。

  • 示例：Snort/Suricata、Palo Alto Networks、Cisco Secure、Darktrace、Corelight、Stealthwatch。

  1. 邮件网关与安全网关、网页/代理安全

  • 用途：拦截恶意邮件（delivery 阶段）、防止钓鱼与恶意站点访问。

  • 示例：Proofpoint、Mimecast、Microsoft Exchange Online Protection、Zscaler。

  1. 沙箱分析与恶意文件分析平台

  • 用途：在隔离环境中执行不明文件以发现 exploit/install 行为，帮助在 Weaponization/Exploitation 阶段阻断。

  • 示例：Cuckoo Sandbox、FireEye（以前）、VirusTotal（文件分析）。

  1. 威胁情报平台（TIP）/情报订阅

  • 用途：提供 IOC（恶意域、C2 IP、hash）和威胁背景，映射到 Kill Chain 阶段以加速检测。

  • 示例：Recorded Future、ThreatConnect、MISP、OTX、VirusTotal Intelligence

  1. SOAR（安全编排自动化与响应）

  • 用途：把 SIEM/EDR/防火墙 的检测结合成自动化流程（例如：侦察阶段发现可疑域 → 自动阻断 → 通知分析师），以便在链 条早期中断攻击。

  • 示例：Cortex XSOAR、Splunk Phantom、Demisto（现为 Cortex XSOAR）。

  1. 漏洞管理 & 扫描器

  • 用途：通过修补减少被利用（Exploitation/Installation）机会；优先级管理以降低攻击面。

  • 示例：Tenable、Qualys、Rapid7。

  1. 蜜罐/欺骗技术（Deception）

  • 用途：在侦察或横向移动阶段诱捕对手，尽早暴露入侵行为。

  • 示例：Attivo、TrapX、KFSensor。

  1. 红队/蓝队工具与攻防平台

  • 用途：红队用 Kill Chain 规划攻击路径（演练每个阶段）；蓝队用它作为检测/演练/演习模型。

  • 示例：Cobalt Strike（用于对手模拟）、Atomic Red Team（小型测试用例）、MITRE Caldera。

实际应用场景（如何用这个模型防御）

  • 检测优先级：把监控和告警按 Kill Chain 阶段加权；优先关注早期阶段（侦察/投递）能最大限度减损失。

  • 告警富化：把 IOC/行为与阶段关联（例如某域名既曾用于 C2，也出现在钓鱼邮件中，映射到 Delivery + C2）。

  • 响应 playbook：用 SOAR 编写流程，例如：收到钓鱼邮件 → 隔离用户邮箱 → 阻断 URL → 扫描受影响主机。

  • 威胁狩猎：基于 Kill Chain 阶段开展主动狩猎（比如在网络中寻找可疑的 C2 beacon、或检查可疑持久化机制）。

总结

  • Kill Chain 是一个理解攻击流程与组织防御活动的思维模型，适合用于设计检测点、优先级和响应流程。
  • 也可以把 Kill Chain + MITRE ATT&CK + 产品（SIEM/EDR/TIP/SOAR） 组合起来，形成更细致、可操作的防御体系。