攻击方法论是对网络攻击活动进行系统化、结构化描述的理论框架。通过研究攻击者的战术、技术和程序（TTP - Tactics, Techniques, Procedures）， 安全团队可以更好地理解威胁、预测攻击行为并建立有效的防御策略。本文将深入讲解业界最主流的攻击方法论框架。
为什么需要攻击方法论？
理解攻击方法论可以帮助安全团队：
• 建立标准化的威胁分析流程
• 预测攻击者的下一步行动
• 优化安全防御资源分配
• 提升威胁情报的可操作性
• 促进安全社区的知识共享
一、Cyber Kill Chain（网络杀伤链）
🎯 洛克希德·马丁公司提出（2011年）
Cyber Kill Chain是最早的网络攻击方法论框架之一，由洛克希德·马丁公司提出。 该模型将网络攻击划分为7个阶段，强调在任何一个阶段打断攻击链都能阻止攻击成功。
核心理念：防御者只需在任一环节成功防御，即可破坏整个攻击链； 而攻击者必须成功完成所有环节才能达成目标。
阶段1: 侦察（Reconnaissance）
目标：收集目标信息，寻找攻击切入点
典型活动：
- Whois查询、DNS枚举
- 社交工程、OSINT开源情报
- 网络扫描、端口探测
- 员工信息收集、组织架构分析
阶段2: 武器化（Weaponization）
目标：创建可利用的攻击载荷
典型活动：
- 选择或开发exploit代码
- 生成恶意Payload（如木马、后门）
- 免杀处理（绕过杀毒软件）
- 打包成文档、可执行文件等形式
阶段3: 投递（Delivery）
目标：将武器化的载荷传递给目标
典型活动：
- 钓鱼邮件附件
- 水坑攻击（Watering Hole）
- 恶意USB设备
- 供应链攻击
阶段4: 漏洞利用（Exploitation）
目标：触发漏洞获取初始访问权限
典型活动：
- 利用软件漏洞（0day/Nday）
- 利用配置错误
- 社会工程学诱骗执行
- 凭证钓鱼
阶段5: 安装（Installation）
目标：在目标系统建立持久化访问
典型活动：
- 安装后门、木马
- 创建定时任务
- 修改启动项
- 植入Rootkit
阶段6: 命令与控制（Command and Control - C2）
目标：建立与被攻陷系统的通信信道
典型活动：
- 建立C2通信（HTTP/HTTPS/DNS隧道）
- 使用加密通信避免检测
- 接收远程指令
- 上传窃取的数据
阶段7: 目标达成（Actions on Objectives）
目标：执行最终攻击目的
典型活动：
- 数据窃取（知识产权、客户数据）
- 横向移动（攻击内网其他主机）
- 权限提升（获取域管理员权限）
- 破坏性攻击（删除数据、加密勒索）
二、MITRE ATT&CK框架
🔬 全球最全面的对抗知识库
MITRE ATT&CK（Adversarial Tactics, Techniques & Common Knowledge）是一个基于真实观察的对抗战术和技术知识库。 它包含14个战术类别和数百种具体技术，覆盖企业网络、移动设备、云环境等多个平台。
官方网站：attack.mitre.org
更新频率：每季度更新
应用场景：威胁情报、红蓝对抗、安全产品评估
2.1 ATT&CK战术矩阵
ATT&CK框架定义了14个战术（Tactics）类别，每个战术包含多种技术（Techniques）：
2.2 ATT&CK技术示例
Phishing（钓鱼）
通过发送恶意邮件获取初始访问权限
Credential Dumping
从系统中提取凭证信息
Remote Services
利用远程服务进行横向移动
三、钻石模型（Diamond Model）
钻石模型由四个核心要素组成，用于描述网络入侵活动：
- Adversary（对手）：攻击者或攻击组织
- Capability（能力）：攻击者使用的工具和技术
- Infrastructure（基础设施）：攻击者使用的C2服务器、域名等
- Victim（受害者）：攻击目标
钻石模型的价值
通过分析这四个要素之间的关系，安全团队可以：
• 关联看似孤立的安全事件
• 识别攻击者的身份和动机
• 预测攻击者的下一步行动
• 建立威胁情报知识图谱
四、HackHub.org实战应用
在HackHub.org的渗透测试项目中，我们综合运用多种攻击方法论：
项目规划阶段
使用Cyber Kill Chain规划完整攻击路径，确保每个环节都有备选方案，提高成功率。
技术执行阶段
参考MITRE ATT&CK框架选择具体的TTP（战术、技术、程序），使用经过验证的攻击技术。
威胁情报分析
运用钻石模型关联攻击活动，建立威胁画像，为客户提供深度威胁分析报告。