用 Lockheed Martin Cyber Kill…

当需要判断攻击者推进到哪一阶段、防御在何处成功或失败、以及哪些控制能在更早阶段阻断攻击时，用七阶段杀伤链对入侵活动进行分阶段映射与分析。

适用场景

解决思路

1. 将观察到的所有攻击者行为映射到 Lockheed Martin Cyber Kill Chain 的七个阶段：Phase 1 Reconnaissance（侦察，指标如攻击者 IP 的 DNS 查询、LinkedIn 抓取、招聘信息分析、对组织基础设施的 Shodan 扫描）；Phase 2 Weaponization（武器化，指标如恶意软件编译时间戳、漏洞文档元数据、恶意样本中的构建器痕迹）；Phase 3 Delivery（投递，指标如钓鱼邮件、恶意附件、水坑下载、USB 投放、供应链入侵）；Phase 4 Exploitation（利用，指标如应用/OS 日志中的 CVE 利用事件、内存破坏痕迹、shellcode 执行）；Phase 5 Installation（安装，指标如新建计划任务、注册表 run 键、服务安装、web shell、bootkit）；Phase 6 Command & Control（C2，指标如信标流量（固定间隔）、DNS 隧道、指向不常见域名的 HTTPS、C2 框架特征（Cobalt Strike、Sliver））；Phase 7 Actions on Objectives（达成目标，指标如数据暂存/外泄、横向移动、勒索软件执行、破坏性活动）。
2. 为事件创建阶段矩阵，标注每个阶段是否完成以及是否被检测，例如：Phase 1 Recon → Completed (undetected)；Phase 2 Weaponize → Completed (undetected — pre-attack)；Phase 3 Delivery → Completed; phishing email bypassed SEG；Phase 4 Exploit → Completed; CVE-2023-23397 exploited；Phase 5 Install → DETECTED: EDR flagged scheduled task creation (attack stalled here)；Phase 6 C2 → Not achieved (installation blocked)；Phase 7 Objectives → Not achieved。
3. 对每个在未被检测情况下完成的阶段，记录对应的防御控制缺口。
4. 将各杀伤链阶段映射到 MITRE ATT&CK 战术以获得技术级细节：Delivery → Initial Access (TA0001)；Exploitation → Execution (TA0002)；Installation → Persistence (TA0003)、Privilege Escalation (TA0004)；C2 → Command and Control (TA0011)；Actions on Objectives → Exfiltration (TA0010)、Impact (TA0040)。
5. 在每个阶段内枚举观察到的具体 ATT&CK 技术，并映射到现有检测能力。
6. 为每个阶段记录适用的防御行动方案（COA）：Detect COA（什么检测会对此阶段活动告警）、Deny COA（什么控制能阻止攻击者完成此阶段）、Disrupt COA（什么控制能在阶段中途打断攻击者）、Degrade COA（什么控制能降低攻击者在此阶段的有效性）、Deceive COA（什么欺骗手段（蜜罐、金丝雀令牌）能暴露此阶段活动）、Destroy COA（什么主动防御能力能中和攻击者基础设施）。
7. 按以下结构产出杀伤链分析报告：1. 攻击叙事（阶段时间线）；2. 逐阶段分析与证据；3. 检测点分析（哪些有效、哪些失败）；4. 按成本/有效性排序的每阶段防御建议；5. 控制改进路线图。

适用边界 · 注意事项

• 不要将其作为独立框架使用——需与 MITRE ATT&CK 结合，以获得超出七阶段杀伤链的技术级粒度。
• 不要假设攻击者总是线性推进——他们可能跳过阶段（武器化在以往行动中已完成）或回环（检测后重建 C2）。
• 不要忽略 Phase 1 和 Phase 2——侦察与武器化发生在防御者可见性之前，需要外部来源（OSINT、威胁情报）；也不要遗漏内部威胁，其可能跳过早期阶段直接进入 Phase 7。