# 什么是杀伤链KillChain？ **杀伤链（Kill Chain），说白了就是把黑客的一次入侵行动，拆成从“踩点”到“得手”的一条固定流水线**——就像刑侦剧里警察在白板上贴出的那张作案流程图：先踩点、再配钥匙、然后进门、开保险柜、最后搬东西销赃。 它的精髓不是研究黑客有多厉害，而是一条让防守方瞬间泄压的铁律：**链条上的每一环都缺一不可，断掉任何一环，整个攻击就前功尽弃**。攻击者必须七关全赢，防守者只需要赢一次。 这就是今天要讲的词——安全圈人人在说的“杀伤链”。 ## 目录 1. 杀伤链是什么？——七步剧本与一条铁律 2. 为什么最近这么火？——AI 攻击与安全产业的“通用语言” 3. 一张图看懂——攻击链全景与断链示范 4. 和我有什么关系？——普通人、从业者、投资者 5. 一分钟总结 --- ## 一、杀伤链是什么？ ### 1.1 一个军词的“转行” “杀伤链”原本是个军事术语，指军队打击一个目标的标准流程：发现、定位、跟踪、瞄准、打击、评估——一环扣一环，少一环这发炮弹就打不出去。 2011 年，美国洛克希德·马丁公司（Lockheed Martin，全球最大军工企业之一，同时也是老牌网络安全服务商）的三位研究员 Hutchins、Cloppert、Rohan 发表了一篇论文，把这个思路搬进了网络世界：**黑客入侵一家企业，其实也遵循一套高度固定的流程**。他们把它命名为“入侵杀伤链”（Intrusion Kill Chain），并拆成了七个阶段。 这篇论文后来成了网络安全史上被引用最多的文献之一，“杀伤链”从此成了安全行业的通用词。 ### 1.2 七个环节，用“小偷入室”一次讲透 我们用一个贯穿全文的类比——小偷入室盗窃——把七环一次讲清楚： | 阶段 | 英文名 | 黑客在干什么 | 小偷版类比 | |---|---|---|---| | ① 侦察 | Reconnaissance | 爬招聘网站看你公司用什么软件、扫你公网服务器的开放端口、翻员工的社交账号 | 蹲点踩点：记下你几点上班、家里几口人、锁是什么牌子 | | ② 武器化 | Weaponization | 把病毒捆绑进一份以假乱真的“发票 PDF”或安装包 | 在家配好万能钥匙、备好开锁工具 | | ③ 投递 | Delivery | 把“武器”送进目标：钓鱼邮件、假网站、被做手脚的 U 盘 | 佯装快递员敲门，或趁你没锁门溜进去 | | ④ 利用 | Exploitation | 你一点开附件，软件漏洞被触发，恶意代码开始运行 | 万一钥匙插进锁孔，锁开了 | | ⑤ 安装 | Installation | 在你的电脑里装后门、攒权限，准备长期潜伏 | 在你家衣柜里藏了一套换洗衣服，方便常来 | | ⑥ 命令与控制 | Command & Control（C2） | 中毒电脑悄悄连上攻击者控制的远程服务器，听候指令 | 小偷和门外同伙通上电话：“保险柜在书房，来搭把手” | | ⑦ 达成目标 | Actions on Objectives | 窃取数据、加密文件勒索、群发继续传播、搞破坏 | 撬开保险柜、搬走财物，顺手把你家钥匙也配了一把 | ### 1.3 它解决了什么问题？ 在杀伤链出现之前，安全防御是“守门员思维”：只要城门（防火墙）够硬，黑客进不来，就万事大吉。但现实是，**再厚的城墙也总有被绕过的一天**——一封钓鱼邮件、一个被黑的上游供应商，都能让防线失守。 杀伤链带来的是一次思维升级： - **把神秘变成工程**：黑客攻击不再是“高深莫测的黑魔法”，而是一张有七道工序的流程图——有流程，就可以逐工序布防、逐工序检测； - **把焦虑变成概率**：不用再追求“百密无一疏”，而是追求“七关里随便哪关抓住他”。这是典型的“不对称防守”破局思路——攻方要连胜七场，守方只需赢一场； - **给全行业发了本词典**：威胁情报怎么写？安全产品怎么定位？事件报告怎么讲？现在大家有了同一套坐标——你说的攻击发生在“第几环”，同行一听就懂。 一句话：**杀伤链让网络安全从“玄学”变成了“剧本杀”**。 --- ## 二、为什么最近这么火？ 杀伤链是 2011 年提出的“老框架”，为什么这几年反而越来越热？主要有四个推力： **第一，勒索攻击产业化，攻击越来越“有剧本”。** 如今主流勒索团伙多采用“勒索软件即服务”（RaaS，相当于勒索界的加盟连锁：总部出工具，分销商出人手）模式运作，入侵流程高度标准化——从钓鱼邮件到内网横传再到勒索加密，几乎是照着模板走。流程越标准，杀伤链模型就越好用。 **第二，AI 给攻击链装上了加速器。** 近两年大模型被广泛用于批量生成鱼饵邮件、自动写漏洞利用代码，攻击的前几环（侦察、投递）成本骤降、量级暴涨。攻击越自动化，防守方就越需要在链条早段（第③④环）快速识别、快速拦截——这正是杀伤链强调的“早断链”。 **第三，安全产业的落地需要它。** 这两年 XDR（全屋安防一体化检测）、SOAR（安全值班室自动化）、AI SOC（用大模型值班的网络安全运营中心）是安全采购的热点，而它们的底层逻辑惊人一致：**单一告警是噪音，把告警按杀伤链串成一个“攻击故事”才是情报**。业内管这个叫构建“攻击叙事”（Attack Story）。可以说，前面讲过的 NTA 流量探头、EDR 终端卫士、沙箱检测、威胁情报 IOC 通缉令，都是某一道工序上的工人；杀伤链，是把所有工人串成一条产线的总图纸。 **第四，模型本身在进化，热度自然延续。** 针对它的批评（见下文）催生了更细粒度的 MITRE ATT&CK 知识库（可以理解为“杀伤链的高清放大版”）、面向云环境的云杀伤链、整合版的统一杀伤链（Unified Kill Chain）等新版本。老词不断长出新枝，讨论度就下不去。 > 说明：本节趋势描述基于行业公开的长期动态整理，未逐一引用具体新闻事件；框架本身的定义与出处以上文 2011 年论文和洛克希德·马丁官方资料为准。 --- ## 三、一张图看懂 ### 3.1 七环攻击链全景 ```mermaid flowchart TD A["① 侦察
踩点摸底"] --> B["② 武器化
打造凶器"] B --> C["③ 投递
送货上门"] C --> D["④ 利用
漏洞引爆"] D --> E["⑤ 安装
安营扎寨"] E --> F["⑥ 命令控制
远程遥控"] F --> G["⑦ 达成目标
偷数据或勒索"] ``` ### 3.2 什么是“断链”？——一次拦截的故事 以最常见的钓鱼邮件攻击为例：只要在“投递”这一环把它拦下，后面的四环再精彩也全部作废。 ```mermaid flowchart TD A["黑客伪造发票文件"] --> B["武器化完成"] B --> C["邮件投递进公司"] C --> D{"邮件网关
沙箱检测"} D -->|识破拦截| E["第3环断裂
全链作废"] D -->|漏网| F["员工误点进入后续环节"] E --> G["攻击者只能从头再来"] ``` 七道工序、一个断点——这就是杀伤链防御的全部哲学。 --- ## 四、和我有什么关系？ ### 4.1 普通人：你就是“第③环”的最后一道闸门 绝大多数针对普通人的攻击，都卡在第③环“投递”——钓鱼短信、假冒客服、“老板让我给你转个账”。这一环的防御成本几乎为零：**陌生的链接不点、来路不明的附件不开、验证码打死不给、免费 U 盘不插**。你多想三秒钟，攻击者前面两环的全部投入就打了水漂。 反过来想：为什么诈骗短信总说“您的快递有问题”“您的账户被冻结”？因为它在做第①环侦察——广撒网找“正好在等快递、正担心账户”的人。看穿剧本，你就不在剧本里。 ### 4.2 从业者：这是安全圈的“普通话” - **面试和日常汇报**：把一次事件按七个阶段复盘，是安全运营（SOC，Security Operations Center，企业的安全监控值班室）分析师的基本功； - **威胁狩猎（Threat Hunting）**：主动出击找潜伏者时，杀伤链就是搜索清单——第⑥环的 C2 心跳流量、第⑤环的可疑计划任务，逐环排查； - **写报告、做产品**：安全产品的功能地图几乎都按杀伤链展开，学会它等于拿到行业通用坐标系。 ### 4.3 投资者：听懂路演里的“第几环” 看安全公司的融资材料或产品发布，听它说“覆盖杀伤链第几环”，就能快速定位赛道：邮件网关在第③环，EDR 在第④⑤环，NTA 在第⑥环，备份容灾守最后一环。宣称“全链条覆盖”的是平台型大厂，深耕单环的是利基玩家——一条链，看懂整个行业的拼图。 --- ## 五、一分钟总结 1. **杀伤链 = 把黑客入侵拆成七个固定步骤的流程模型**：侦察、武器化、投递、利用、安装、命令控制、达成目标； 2. 2011 年由洛克希德·马丁提出，思路源自军事领域； 3. 铁律只有一条：**断掉任何一环，整个攻击就失败**——攻击者要七连胜，防守者只需赢一场； 4. 它是整个安全行业的通用剧本，威胁情报、安全产品、事件报告都按它对齐坐标； 5. 它的“高清放大版”叫 MITRE ATT&CK，两者常常成对出现。 ## 延伸阅读 - **MITRE ATT&CK**：杀伤链的高清升级版——不再强调先后顺序，而是把攻击者的几百种战术和手法做成一张可检索的矩阵，是当今威胁情报的事实标准； - **威胁狩猎（Threat Hunting）**：不等告警上门，拿着杀伤链清单主动进内网“搜捕”潜伏者； - **钻石模型（Diamond Model）**：和杀伤链齐名的另一套攻击分析框架，从“对手、能力、基础设施、受害者”四个顶点拆解单次攻击事件。 ## 参考来源 1. [Lockheed Martin — Cyber Kill Chain® 官方页面](https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html) — 杀伤链概念的官方出处，含七阶段定义与防御理念 2. [Hutchins, Cloppert & Rohan (2011)《Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains》](https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf) — 提出“入侵杀伤链”的原始论文 3. [Wikipedia — Kill Chain](https://en.wikipedia.org/wiki/Kill_chain) — 军事起源、网络安全应用与学术批评的交叉验证 4. [MITRE ATT&CK Framework](https://attack.mitre.org/) — 杀伤链的细粒度演进版，业界事实标准 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。