杀伤链（Kill Chain），说白了就是把黑客的一次入侵行动，拆成从“踩点”到“得手”的一条固定流水线——就像刑侦剧里警察在白板上贴出的那张作案流程图：先踩点、再配钥匙、然后进门、开保险柜、最后搬东西销赃。
它的精髓不是研究黑客有多厉害，而是一条让防守方瞬间泄压的铁律：链条上的每一环都缺一不可，断掉任何一环，整个攻击就前功尽弃。攻击者必须七关全赢，防守者只需要赢一次。
这就是今天要讲的词——安全圈人人在说的“杀伤链”。
“杀伤链”原本是个军事术语，指军队打击一个目标的标准流程：发现、定位、跟踪、瞄准、打击、评估——一环扣一环，少一环这发炮弹就打不出去。
2011 年，美国洛克希德·马丁公司（Lockheed Martin，全球最大军工企业之一，同时也是老牌网络安全服务商）的三位研究员 Hutchins、Cloppert、Rohan 发表了一篇论文，把这个思路搬进了网络世界：黑客入侵一家企业，其实也遵循一套高度固定的流程。他们把它命名为“入侵杀伤链”（Intrusion Kill Chain），并拆成了七个阶段。
这篇论文后来成了网络安全史上被引用最多的文献之一，“杀伤链”从此成了安全行业的通用词。
我们用一个贯穿全文的类比——小偷入室盗窃——把七环一次讲清楚：
| 阶段 | 英文名 | 黑客在干什么 | 小偷版类比 |
|---|---|---|---|
| ① 侦察 | Reconnaissance | 爬招聘网站看你公司用什么软件、扫你公网服务器的开放端口、翻员工的社交账号 | 蹲点踩点：记下你几点上班、家里几口人、锁是什么牌子 |
| ② 武器化 | Weaponization | 把病毒捆绑进一份以假乱真的“发票 PDF”或安装包 | 在家配好万能钥匙、备好开锁工具 |
| ③ 投递 | Delivery | 把“武器”送进目标：钓鱼邮件、假网站、被做手脚的 U 盘 | 佯装快递员敲门，或趁你没锁门溜进去 |
| ④ 利用 | Exploitation | 你一点开附件，软件漏洞被触发，恶意代码开始运行 | 万一钥匙插进锁孔，锁开了 |
| ⑤ 安装 | Installation | 在你的电脑里装后门、攒权限，准备长期潜伏 | 在你家衣柜里藏了一套换洗衣服，方便常来 |
| ⑥ 命令与控制 | Command & Control（C2） | 中毒电脑悄悄连上攻击者控制的远程服务器，听候指令 | 小偷和门外同伙通上电话：“保险柜在书房，来搭把手” |
| ⑦ 达成目标 | Actions on Objectives | 窃取数据、加密文件勒索、群发继续传播、搞破坏 | 撬开保险柜、搬走财物，顺手把你家钥匙也配了一把 |
在杀伤链出现之前，安全防御是“守门员思维”：只要城门（防火墙）够硬，黑客进不来，就万事大吉。但现实是，再厚的城墙也总有被绕过的一天——一封钓鱼邮件、一个被黑的上游供应商，都能让防线失守。
杀伤链带来的是一次思维升级：
一句话：杀伤链让网络安全从“玄学”变成了“剧本杀”。
杀伤链是 2011 年提出的“老框架”，为什么这几年反而越来越热？主要有四个推力：
第一，勒索攻击产业化，攻击越来越“有剧本”。 如今主流勒索团伙多采用“勒索软件即服务”（RaaS，相当于勒索界的加盟连锁：总部出工具，分销商出人手）模式运作，入侵流程高度标准化——从钓鱼邮件到内网横传再到勒索加密，几乎是照着模板走。流程越标准，杀伤链模型就越好用。
第二，AI 给攻击链装上了加速器。 近两年大模型被广泛用于批量生成鱼饵邮件、自动写漏洞利用代码，攻击的前几环（侦察、投递）成本骤降、量级暴涨。攻击越自动化，防守方就越需要在链条早段（第③④环）快速识别、快速拦截——这正是杀伤链强调的“早断链”。
第三，安全产业的落地需要它。 这两年 XDR（全屋安防一体化检测）、SOAR（安全值班室自动化）、AI SOC（用大模型值班的网络安全运营中心）是安全采购的热点，而它们的底层逻辑惊人一致：单一告警是噪音，把告警按杀伤链串成一个“攻击故事”才是情报。业内管这个叫构建“攻击叙事”（Attack Story）。可以说，前面讲过的 NTA 流量探头、EDR 终端卫士、沙箱检测、威胁情报 IOC 通缉令，都是某一道工序上的工人；杀伤链，是把所有工人串成一条产线的总图纸。
第四，模型本身在进化，热度自然延续。 针对它的批评（见下文）催生了更细粒度的 MITRE ATT&CK 知识库（可以理解为“杀伤链的高清放大版”）、面向云环境的云杀伤链、整合版的统一杀伤链（Unified Kill Chain）等新版本。老词不断长出新枝，讨论度就下不去。
说明：本节趋势描述基于行业公开的长期动态整理，未逐一引用具体新闻事件；框架本身的定义与出处以上文 2011 年论文和洛克希德·马丁官方资料为准。
flowchart TD
A["① 侦察<br/>踩点摸底"] --> B["② 武器化<br/>打造凶器"]
B --> C["③ 投递<br/>送货上门"]
C --> D["④ 利用<br/>漏洞引爆"]
D --> E["⑤ 安装<br/>安营扎寨"]
E --> F["⑥ 命令控制<br/>远程遥控"]
F --> G["⑦ 达成目标<br/>偷数据或勒索"]
以最常见的钓鱼邮件攻击为例：只要在“投递”这一环把它拦下，后面的四环再精彩也全部作废。
flowchart TD
A["黑客伪造发票文件"] --> B["武器化完成"]
B --> C["邮件投递进公司"]
C --> D{"邮件网关<br/>沙箱检测"}
D -->|识破拦截| E["第3环断裂<br/>全链作废"]
D -->|漏网| F["员工误点进入后续环节"]
E --> G["攻击者只能从头再来"]
七道工序、一个断点——这就是杀伤链防御的全部哲学。
绝大多数针对普通人的攻击，都卡在第③环“投递”——钓鱼短信、假冒客服、“老板让我给你转个账”。这一环的防御成本几乎为零：陌生的链接不点、来路不明的附件不开、验证码打死不给、免费 U 盘不插。你多想三秒钟，攻击者前面两环的全部投入就打了水漂。
反过来想：为什么诈骗短信总说“您的快递有问题”“您的账户被冻结”？因为它在做第①环侦察——广撒网找“正好在等快递、正担心账户”的人。看穿剧本，你就不在剧本里。
看安全公司的融资材料或产品发布，听它说“覆盖杀伤链第几环”，就能快速定位赛道：邮件网关在第③环，EDR 在第④⑤环，NTA 在第⑥环，备份容灾守最后一环。宣称“全链条覆盖”的是平台型大厂，深耕单环的是利基玩家——一条链，看懂整个行业的拼图。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。