1.1.3 网络攻防的工具与手段

近年来，全球顶级网络攻击工具泄露事件时有发生，其中影响较大的事件如下。

2015年7月，Hacking Team攻击工具源代码泄露。

2016年8月，“影子经纪人”（The Shadow Brokers）泄露“方程式”（Equation Group）组织的攻击工具，共4000多个文件，覆盖UNIX与Windows等平台（见图1-5和图1-6），其中最早的黑客工具可以追溯到2010年。网上拍卖价高达100万个比特币，也就是相当于当时的5.68亿美元。

2017年4月，“影子经纪人”泄露NSA“永恒之蓝”等系列0day漏洞攻击工具。

2019年3月，某位自称Lab Dookhtegan的个人（或组织）在社交软件Telegram上泄露了黑客组织APT34的攻击工具。其中包括远控工具PoisonFrog、DNS隧道工具Webmask、Web Shell工具HyperShell和HighShell。

2020年10月，在GitHub上有用户上传了名为Cobalt Strike的文件夹，是渗透测试工具Cobalt Strike 4.0通过逆向重新编译的源代码。该用户同时还上传了“冰蝎”动态二进制加密网站管理客户端和“哥斯拉”Shell管理工具的源代码。

2020年12月8日，美国火眼公司（FireEye）在其官方网站发布公告称，“高度复杂的威胁行动者”攻击了其内网并窃取了用于测试客户网络的红队（Red Team）工具，如图1-7所示。FireEye是一家定位于高级网络威胁防护服务的美国企业，其为客户提供的红队工具可模拟多种威胁行为体的活动，从而模仿潜在的攻击者对企业网络进行渗透，以评估企业的安全防御体系和应急响应能力。

FireEye声明，这是一起由具有一流网络攻击能力的国家发动的攻击事件。攻击实施者专门针对FireEye定制了高级攻击手段，使用了一些前所未见的新型技战术。攻击者在战术方面受过高度训练，执行时纪律严明且专注，并使用对抗安全工具和取证检查的方法执行隐蔽的攻击行动。此次事件中，被窃红队工具的范围覆盖了从简单自动化侦察脚本到类似于Cobalt Strike和Metasploit等公开可用技术的整个框架。

接二连三的网络武器的泄露事件为大家揭开了网络战场的“兵工厂”一角。那么，什么样的攻防工具才称得上“武器”？大体要具备以下三方面条件。

首先，要以计算机代码为基础技术载体。计算机代码通常是网络武器攻击中的核心组成部分，是网络特性的重要表现，也是区别网络武器与电磁武器（电磁干扰、电磁脉冲等）的重要因素。同样，对网络信息系统进行物理打击和破坏一般也不属于网络武器范畴。

其次，操作者是否具有使用网络武器的主观意图。网络武器是操作者用以实现特定政治、军事目的的网络军事工具，这是区别于单纯的网络安全事故或是群体性无意识失范行为的依据。

最后，是否对目标产生损伤效果。网络武器的目标可能是多样的，效果也包括从低烈度到高烈度的不同层级，但无论是数据层面、信息层面、物理层面甚至意识层面，网络武器必然会对某一类目标对象造成一定损伤。

随着网络安全攻防技术的不断发展，网络武器已逐步呈现出以下三个演进趋势。

一是网络武器攻防一体化。传统武器从设计、制造、系统构建和部署、操作者意图等多方面，可以大致判断其是属于进攻武器还是防御武器。但就网络武器而言，攻击与防御的界限日趋模糊。

例如，网络漏洞的自动检测分析，这类技术既可以被用于网络防御，检测判断算法、系统或者应用是否安全、是否存在漏洞，又可以用于网络攻击，搜索发现对方网络系统中可利用的安全缺口。2016年，美国国防部高级研究计划局（DARPA）举办网络超级挑战赛（CGC，Cyber Grand Challenge[1]），目标是实现“全自动的网络安全攻防系统”，最终来自卡内基·梅隆大学的一支人工智能团队夺得冠军，并在之后的挑战赛中战胜了两支由人组成的黑客队伍。

这种全自动网络安全攻防意味着人工智能已经把网络攻防推向智能化时代，基于深度学习技术能够大幅减少传统网络攻防对抗的时间和人力成本。迈克菲实验室在《2017年威胁预测报告》中曾发出警告：“犯罪分子将使用机器学习技术进行自动化攻击并绕过检测，传统防御技术将难以抵挡智能化的渗透式网络入侵。”随着未来的网络技术突破，尤其是随着人工智能技术的不断发展和军事应用，网络武器的攻击性和防御性将不断交锋，技术进步和应用转化将同时在网络攻防两端产生作用。

二是网络武器效能实体化。早期的网络攻击往往针对虚拟目标，产生的损害主要在数据层、逻辑层和应用层。即使是一度肆虐的勒索软件病毒，其攻击方式也主要是对数据进行篡改、偷取和破坏，现实的损害往往是数据或功能的损伤。但是随着网络技术的不断发展，网络空间与现实空间融合交织的程度日益加深，网络武器对于物理系统的渗透性越来越强，可能造成的现实打击也越来越直接和深刻。IPv6与5G时代的到来会使这一趋势变得更加紧迫，全球范围的物联网具备了更加现实的技术和硬件支持，接入网络空间的物理设备与网络资产将呈现爆炸式增长，这将使得网络武器能够更加容易地突破虚拟与现实的空间隔阂，直接对各种联网终端进行攻击，并带来直接的物理损失和连带性的现实影响，而不仅仅是传统虚拟数据层的损害。有些国家正在开发可突破物理隔阻的各类网络攻击手段，这将成为网络武器发展的一个重要趋势。

三是网络武器平台体系化、集成化。这方面的例子也很多，如2012年美国军方开始资助所谓的“X计划”。“X计划”包含了网络态势感知等极其丰富的内容，但其中一个很重要的元素或者组成部分，就是试图把各种网络武器集成到同一个平台上。其设想是能够让每一个作战单位，甚至每一个具体执行任务的士兵，都能够从这个平台选择想要的网络武器发动攻击，因此这种平台体系化趋势越来越明显。再比如2022年披露的Quantum（量子）攻击系统，是APT[2]组织APT-C-40针对国家级互联网专门设计的一种先进的网络流量劫持攻击技术，具有“QUANTUMINSERT（量子注入）”“QUANTUMBOT（量子傀儡）”“QUAN-TUMBISCUIT（量子饼干）”“QUANTUMDNS（量子DNS）”“QUANTUMHAND（量子掌握）”“QUANTUMP HANTOM（量子幻影）”“QUANTUMSKY（量子天空）”“QUANTUM-COPPER（量子警察）”“QUANTUMSMACKDOWN（量子下载）”九大功能模块，分为QUANTUM Capabilities网络定位、QUANTUM SIGDEV网络监控和QUANTUMNATION操作进入三个QUANTUM（量子）攻击实施过程，已完全实现了工程化、自动化（见图1-8）。据NSA（National Seacrity Agency，美国国家安全局）官方机密文档Quantum Insert Diagrams内容显示，QUANTUM（量子）攻击可以劫持全世界任意地区、任意网络上用户的正常网页浏览流量，实施漏洞利用、通信操控和情报窃取等一系列复杂网络攻击。

注意，平台体系化的趋势不只是体现在网络攻击技术的整合上，还极大地扩展到了其他层面：一是跨组织的横向整合，主要体现在国际间的网络空间联盟化，如美国提出云驱动下的国际协同防御概念，即所谓的“伙伴国家”的安全人员，可以通过智能技术对共有的情报数据进行提取、分析和共享，从而制定相应的战略战术；二是纵向的体系化，主要是对多维度信息资源进行整合应用，形成全域型的作战空间。伴随着军事空间网络化，网络空间已经成为陆、海、空、天等实体战场的支撑，信息化军队是建立在网络基础之上的，谁控制了网络，谁就拥有了现代战场上的制信息权，赢得了主动。与此同时，陆、海、空、天等实体战场也扩展了网络信息资源来源的维度，构建了一个纵向立体的信息化战场。

网络武器是攻防手段的核心能力支撑。如果深入研究高级网络攻防手段，会发现其复杂度非常高。为了方便大家建立概念框架，这里引进MITRE公司提出的“ATT&CK技战术模型”（Adversarial Tactics Techniques and Common Knowledge）。

MITRE认为，网络安全模型可以分为如图1-9所示的三个层级。

·高层级模型：如Kill Chain、STRIDE。

·中层级模型：如MITRE ATT&CK。

·低层级模型：如Exploit、Database、Vulnerability、Models。

其中，高层级模型普遍对网络攻击的抽象程度较高，无法在操作面上形成针对性的指导。以网络安全KillChain模型为例，它将攻击行为分解为多个阶段：侦查（Reconnaissance）→武器化（Weaponization）→传输（Delivery）→挖掘（Exploitation）→植入（Installation）→命令和控制（C2）→操作目标（Actions on Objectives）。这个模型框架对于深入理解网络攻击有一定意义，但由于高度概括抽象，所以很难对具体问题提供指导。低层级模型又过度注重技术细节，如安全漏洞库、恶意代码特征等，让人们无法把控攻击者的目的和整体攻击过程。

因此，MITRE提出了一个中层级安全模型，即ATT&CK，以便刻画网络攻击中的以下要素。

·每次攻击行为之间的联系。

·连续的攻击行为背后的攻击目标。

·每次攻击行为如何与数据源、防御、配置和其他被用在一个平台/技术域之间的措施相联系。

TTP（Tactics Techniques Procedure）是ATT&CK模型的核心内容，如图1-10所示。

X轴是战术（Tactics），描述攻击行为的目标（WHY），如持久化、提权等作战意图。战术之间可能没有严格的时序关系，需要在实战对抗中灵活运用。此外，并非所有归纳出来的战术都一定会应用在现实中。

Y轴是技术（Techniques），说明达成战术目标所使用的手法（WHAT）。根据统计，在检测逃逸（TA0005，Defense Evasion）、持久化（TA0003，Persistence）和荷载执行（TA0002，Execution）三类战术中包含了最多数量的技术手法。例如，为了在Windows操作系统环境中实现攻击持久化的目标，可以使用系统定期任务（T1053，Scheduled Task），或者利用注册表启动项/系统启动目标（T1060，Registry Run Keys/Startup Folder）等多种技术。

ATT&CK矩阵的Z轴指TTP的最后一环——过程（Procedure），用于说明成功执行技术手法应该如何操作实施（HOW）。攻击过程包括了丰富的技术细节，万千变化皆在于此。

ATT&CK模型将网络安全事件划分为12个阶段（或者说是12种技战术指导策略）进行描述：初始访问→执行→持久化→提升权限（提权）→防御绕过→凭据访问→探索发现→横向移动→收集→命令与控制→数据泄露→影响。

（1）初始访问

“初始访问”是攻击的起点，也是攻击者在目标环境中的立足点。攻击者会使用不同技术来实现初始访问技术。

（2）执行

“执行”战术是所有攻击者必然会采用的一个战术，因为无论攻击者通过恶意程序、勒索软件还是APT攻击等手段，为了能成功攻入主机，最终都会选择“执行”战术。但换个角度想，如果恶意程序必须运行，安全防御人员将有机会阻止或者检测它，无论是主动出击还是守株待兔，都有可能成功防御。但是需要注意，并非所有的恶意程序都是可以用杀毒软件检测到的，高级的恶意程序会被攻击者精心包装，做了免杀加壳甚至自动备份隐藏，在面对这种机器无法扫描到的情况时，就需要专业人员来进行调查研究了。

（3）持久化

“持久化”战术是所有攻击者追求实现的技术之一，除勒索软件外，大部分攻击者的存活时间取决于何时被检测系统发现。试想一下，一个攻击者花了很大的攻击成本攻入了某台主机后，必然不愿意再花同样的时间成本在下次登录（攻击）的过程中，所以最简便最能减少工作量的方法就是“留后门”或者叫“持久化”。在攻击者成功执行完“持久化”之后，即便运维人员采取重启、更改凭据等措施，持久化依然可以让计算机再次感染病毒或维护其现有连接。例如，“更改注册表、启动文件夹和镜像劫持（IFEO[3]）”等。

（4）提升权限

“提升权限”战术也是攻击者比较追捧的技术之一，毕竟不是每位攻击者都能够使用管理员账号进行攻击，谁都希望自己能获得最大的权限，利用系统漏洞达到root级访问权限可以说是攻击者的核心目标之一。

（5）防御绕过

“防御绕过”战术极为重要，据统计，目前其包含的技术约69项。而防御绕过中有一些技术可以让一些恶意软件骗过防病毒产品，让这些防病毒产品根本无法对其进行检查，又或者绕过白名单技术。例如，修改注册表键值、删除核心文件和禁用安全工具等。当然作为防御者，在应对此类战术时可以通过监视终端上的更改并收集关键系统的日志来让入侵无处遁形。

（6）凭据访问

“凭据访问”也是对攻击者极具吸引力的战术。毫无疑问，它是攻击者最想要的东西之一，因为有了凭据访问，不仅能节省下来大量的攻击成本，而且减少了攻击被发现的风险。试想一下，如果攻击者可以堂而皇之地进行登录，怎么会花费大量的攻击成本冒险使用0day漏洞入侵？

（7）探索发现

“探索发现”战术是所有攻击手段中最难以防御的策略，可以说是“防不胜防”。其实该战术与网络安全“杀伤链”（Kill Chain）的侦查阶段有很多相似之处。组织机构要正常运营业务，肯定会暴露某些特定方面的信息，而这些信息可能恰好被攻击方所利用。

（8）横向移动

“横向移动”战术是攻击者常用战术之一，在攻击者利用某个漏洞进入系统后，无论是为了收集信息还是为了下一步攻击寻找突破点，通常都会尝试在网络内横向移动。哪怕是勒索软件，甚至是只针对单个系统的勒索软件，通常也会试图在网络中移动寻找其攻击目标。攻击者一般都会先寻找一个落脚点，然后开始在各个系统中移动，寻找更好的访问权限，最终控制目标网络。

（9）收集

“收集”战术是一种攻击者为了发现和收集实现目标所需的数据而采取的技术。但是该战术中列出的许多技术都没有关于如何减轻这些技术的实际指导。实际上，大多数都是含糊其辞，声称使用白名单，或者建议在生命周期的早期阶段阻止攻击者。

（10）命令与控制

现在大多数恶意软件都有一定程度的命令和控制权。黑客可以通过命令和控制权来渗透数据、告诉恶意软件下一步执行什么指令。对于每种命令和控制，攻击者都是从远程位置访问网络。因此了解网络上发生的事情对于解决这些技术至关重要。

（11）数据泄露

攻击者获得访问权限后，会四处搜寻相关数据，然后开始着手数据渗透。但并不是所有恶意软件都能到达这个阶段。例如，勒索软件通常对数据逐渐渗出没有兴趣。与“收集”战术一样，该战术对于如何缓解攻击者获取公司数据，几乎没有提供指导意见。

（12）影响

“影响”是攻击过程中的最后一项战术，攻击者试图操纵、中断或破坏企业的系统和数据。用于影响的技术包括破坏或篡改数据。在某些情况下，业务流程可能看起来很好，但实际已经更改为有利于对手的目标。这些技术可能被对手用来完成最终目标，或者为机密泄露提供掩护。