HVV-Learning-区域边界网络下的攻击链路与攻击事件(BLA&UKC)

0、前前言

以前也时不时会在freebuf上看文章，但是一直没发过。忽然发现freebuf可以自由投稿。先把以前在 同名公众号（非典型产品经理笔记） 上写的原创内容，挑一部分发一下。

后续新内容会考虑同步在freebuf上发送。

1、前文提要

参考《 HVV-Learning-003-浅析ATT &ck和Cyber Kill Chain 》，ATT&CK通过14个战术步骤，说明攻击者可以通过下述战术组合， 达成最终的攻击目标（如拿下标靶系统、盗窃所需数据等） 。

2、攻防演练/攻击活动中的特征

ATT&CK描述的 战术阶段之间没有严格的时序关系 ，攻击者可以任意组合。防守方可以通过TTP，来描述某一次 攻击事件 或 攻击活动 所采用的 战术/技术组合 。

但是ATT&CK对攻击路径的描述有所不足，在真实的攻击场景，攻击路径具有如下特征（如下图）：

1)、攻防演练中，往往只有一个靶标系统(Target）。但是在真实攻击活动中（如APT组织盗窃企业机密数据)，针对一个受攻击企业/机构，往往有多个攻击目标，甚至是在攻击过程中 动态确认攻击目标 ，把攻击中发现的有价值的业务系统/数据纳入攻击范围。

2)、针对一个TARGET（目标），有多条攻击路径 。

3)、每条攻击路径，有多个攻击/失陷节点。

4)、针对一个攻击/失陷节点，往往会采用多种攻击战术组合 。以下图为例，仅其中一个失陷节点，即有可能会采用：Initial Access、Execution、Persistence、Privilege Escatation等多种攻击战术，及其技术。

3、ATT&CK TTP描述的不足

参考《 HVV-Learning-003-浅析ATT &ck和Cyber Kill Chain 》提到的 工业恶意软件Triton 的TTP。我们可以发现TTP更适用于 形容攻击战术和技术的组合 （尤其是创新性组合或创新性技术应用)，缺乏 时序和路径 的描述。

4、区域边界网络架构下的核心攻击循环(BLA)

在区域边界网络下，典型网络架构是分区分域的，通过层层设防实现纵深防护。

有一个脑筋急转弯是这么问的， 将大象关进冰箱需要几步 ？答案是三步，打开冰箱门，将大象放进冰箱，关上冰箱门。

那么，攻击者拿下攻击目标需要几步呢？也是3步。

突破边界（Break Boundary)：类似于 ATT &CK中的TA0001 Initial Access 入口点/突破口 ，只是ATT&CK中的 Init Access 多指互联网边界。而突破边界，是指任意一层边界。

横向移动(Lateral Movement ）: 在边界内进行横向移动，获取更多权限，同时 找到通往下一个边界的跳板。

目标行动(Actions on Objective): 最终接触到目标后，针对攻击目标进行盗窃数据、破坏等攻击行为。

当然，和将大象关进冰箱不同的是，这3步在区域边界下，是需要反复执行的。可以将之称为" BLA核心攻击循环 "， BLA攻击三步曲 。

比如针对单一攻击目标，前2步可能需要反复执行（如BLBLA），即 突破边界→横向移动→突破边界→横向移动 .......最终接触到目标， 进行目标行动 。

BLA相比于ATT&CK而言，从14个战术阶段，即可以看出ATT&CK 更加技术化和战术化 ，则BLA则更加抽象和总结，更有助于 让我们在逻辑上理解攻击过程 。

5、BLA和Unified Kill Chain统一杀伤链

BLA相当于是为了理解攻击过程，而进一步总结的 逻辑攻击模式 。

秉承着 非必要不原创,原创后也要找参考 的原则，我又进一步搜寻了业界相关发展资料。

最后发现， UKC统一杀伤链已经体现了时序性和逻辑性，并且将战术和逻辑进行了统一 。

5.1、Unified Kill Chain简介

下方为维百(见：en.wiki敏pedia感.org/wiki/Kill\\...%25E4%25B8%25AD%25E7%25BB%2599%25E5%2587%25BA%25E7%259A%2584%25E8%25AF%25B4%25E6%2598%258E%25E5%2592%258C%25E8%25A7%25A3%25E9%2587%258A%25EF%25BC%259A "https://en.wiki%E6%95%8Fpedia%E6%84%9F.org/wiki/Kill\\\\_chain[1])%E4%B8%AD%E7%BB%99%E5%87%BA%E7%9A%84%E8%AF%B4%E6%98%8E%E5%92%8C%E8%A7%A3%E9%87%8A%EF%BC%9A")

Unified Kill Chain 由Paul Pols于2017年与Fox-IT和莱顿大学[2]合作开发， 通过统一和扩展 洛克希德马丁 [3] 公司的杀伤链 MITRE [4] 的ATT &CK框架 ，克服对传统网络杀伤链的常见批评。杀伤链的统一版本是18个独特攻击阶段的 有序排列 ，这些阶段可能发生在端到端网络攻击[5]中，涵盖了在防御网络内外发生的活动。因此， 统一杀伤链改进了传统杀伤链的范围限制以及MITRE的ATT &CK中战术的时间不可知性。统一模型可用于分析、比较和防御****高级持续性威胁[6]** （APT）的端到端网络攻击。**