APT 生命周期：从初始访问到数据外泄

高级持续性威胁（APT）是指开展长期、定向攻击活动的复杂攻击者，这些攻击者可能得到国家支持或拥有充足资金。与机会主义攻击者不同，APT 会投入大量资源，专门针对高价值目标，例如国防承包商、金融机构和政府机构。

洛克希德·马丁公司的网络杀伤链将 APT 行动描述为七个阶段：侦察、武器化、投递、利用、安装、命令与控制以及达成目标。防御者可以通过破坏链条中的任一环节来阻断攻击活动。

APT 行动者会开展广泛的被动 OSINT：查看 LinkedIn 员工资料（识别 IT 管理员）、分析招聘信息（了解技术栈）、检查 GitHub 代码库（发现内部代码泄露）、搜索互联网暴露的服务，以及查看证书透明度日志（发现子域名）。

完成侦察后，APT 会制作具有针对性的恶意文档：利用近期披露的 CVE 的电子表格宏、包含 JavaScript 的 PDF 文件，或被植入恶意代码的软件更新。投递通常采用鱼叉式钓鱼，针对已识别的高价值目标；也可能通过战略性入侵网站（水坑攻击）完成。

攻击者会利用零日漏洞或已知 CVE 攻击未打补丁的系统。安装阶段用于建立持久化机制，包括计划任务、注册表启动项、服务安装、WMI 订阅或引导套件植入。APT 偏好轻量级的第一阶段植入程序，在入侵成功后再下载完整工具包。

APT 的命令与控制流量会伪装成正常流量：通过 CDN 提供商使用 HTTPS、DNS 隧道、域名前置，以及基于社交媒体的命令与控制（在社交平台或 GitHub 上发布内容）。较长的信标间隔（数小时或数天）可以避免被模式检测发现。采用证书固定的加密通信能够绕过 SSL 检查。

APT 会利用已泄露的凭据、哈希传递、Kerberos 服务票据破解以及借地生存工具进行横向移动。它们会绘制网络拓扑，识别高价值目标（域控制器、文件服务器和数据存储库），并建立多个持久化点以实现冗余。

APT 会从普通用户权限提升至管理员权限，再提升至域管理员权限。相关技术包括：本地权限提升（内核漏洞利用、服务配置错误）、破解服务账户的 Kerberos 服务票据、使用目录复制同步攻击转储 NTDS.dit，以及通过黄金票据/白银票据攻击获得持久且难以检测的域访问权限。

最终阶段取决于 APT 的动机：间谍活动（窃取机密文件、IP 或通信内容）、破坏活动（类似震网的破坏性攻击）、金融盗窃（操纵 SWIFT 交易），或建立持久访问权限以便未来行动，而不立即采取容易引起注意的操作。

APT 会缓慢窃取数据以避免被发现：将大型数据集拆分成小批量传输，历时数周完成；使用加密压缩包；在传输前压缩数据；将数据暂存到已入侵的中间系统；以及通过合法云服务（OneDrive、云盘服务）窃取数据，以便混入正常流量。

防御者可以在每个阶段阻断 APT：电子邮件过滤可以阻断投递，打补丁可以阻断利用，EDR 可以阻断安装，网络分段可以限制横向移动，特权访问工作站可以保护凭据，数据丢失防护工具可以检测数据窃取。

在网络杀伤链中，攻击者在哪个阶段会在遭入侵的系统上建立持久化机制？

APT 攻击活动遵循结构化生命周期，从 OSINT 侦察开始，经过武器化、投递、利用、建立命令与控制、横向移动、权限提升，最终进行数据窃取。理解每个阶段，有助于防御者在对手达成目标前打破杀伤链。