2.2 入侵生命周期

为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，我们提出了基于入侵生命周期的攻击管理模型。入侵生命周期把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期同样以ATT&CK为基本战术知识库，并将相应战术知识匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，各个阶段也没有绝对的线性次序。

1.探索发现

在这个阶段，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。

2.入侵和感染

在这个阶段，攻击者会根据探索发现阶段所发现的重要信息，对目标暴露出的攻击面进行攻击尝试。在探索发现阶段收集到的信息越多，攻击对象所暴露的攻击面就越多，攻击就越容易成功。

3.探索感知

攻击者在成功进入系统内部后，由于是首次进入，所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据自己的攻击目的进行下一步操作。

4.传播

在此阶段，攻击者根据上一阶段在内网探索感知所收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播到其他计算机。若是工作组环境，则可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，以便尽可能多地继续获得其他计算机的控制权。

5.持久化

攻击者在对资产进行恶意操作后，为了减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作。常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定的恶意程序；新建系统管理员账号；等等。这样便于攻击者下次快速登录并控制该系统。

6.攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作。攻击者按照意愿，对能利用的数据进行窃取、利用，对操作系统和敏感文件进行破坏、删除。防御者通过所有的防御手段来极力阻止攻击者进行到这一阶段。

7.恢复

攻击者在执行各种攻击操作时，往往会在系统中留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除，或混淆，从而消灭证据，逃避追踪。

第4～12章将基于入侵生命周期的概念模拟攻击者的攻击流程，并介绍各攻击流程的相关操作手段。