搞懂杀伤链的“七步法”：网络杀伤链模型，其实也好理解
如果你刚接触信息安全，看到“杀伤链”（Kill Chain）这个词，第一反应可能是军事术语。没错，这玩意儿最早确实是洛克希德·马丁公司（就是造战斗机的那个）提出来的，用来描述有针对性、分阶段的网络攻击过程。
说白了，就是把一次黑客攻击，拆解成七个环环相扣的步骤。每个步骤都是一次“机会窗口”——防守方如果能在这个环节发现异常并阻断，攻击就卡住了。反过来，如果七个步骤全走完，那基本就“木已成舟”，数据丢了、系统瘫了，只能收拾残局。
如果你是做运维、安全或者开发的同学，把这套逻辑刻在脑子里，比背一百个漏洞编号都管用。
阶段一：目标侦察（Reconnaissance）—— 踩点，摸清你家门朝哪开
攻击者动手之前，先得知道“打谁”和“怎么打”。这个阶段干的事儿就是搜集信息：你们公司用啥网站框架、开了哪些端口、员工邮箱前缀是什么、有没有泄露的代码仓库……用的工具可能是爬虫、搜索引擎、社交媒体，甚至是一封伪装的“合作咨询”邮件来套话。
防守的要点在于“关注日常异常”。比如某个内网IP突然频繁向外发起DNS查询，或者日志里出现大量非工作时间段的访问请求。很多时候，侦察行为本身并不“致命”，但它是唯一的“事前预警”机会。如果你连异常流量和日志都不看，那等于把大门钥匙挂在猫眼上。
阶段二：武器构造（Weaponization）—— 造子弹，把漏洞变成“能用的工具”
拿到目标信息后，攻击者就要“造武器”了。这里的武器不是什么高大上的0day，更常见的是：把一个已知漏洞的利用代码，捆绑到一个看似正常的文件里，比如带宏病毒的Word文档、藏了后门程序的PDF、或者伪装成安装包的木马。
这个阶段完全发生在攻击者自己的环境里，你根本看不到。所以防守基本靠“补丁管理”——系统漏洞有没有及时打、应用版本是不是最新、第三方组件有没有已知风险。我个人的观点是：别迷信“0day防护”，绝大多数攻击用的都是老漏洞，你只要把补丁节奏跟紧了，就能挡掉七八成的武器。
阶段三：载荷投送（Delivery）—— 把子弹送到你面前
武器造好了，得送出去。最常见的投送方式就是钓鱼邮件——发个带链接或附件的邮件，骗你点开。其他方式还包括水坑攻击（在你常上的网站里挂马）、U盘投放（物理接触）、或者供应链投毒（替换你用的软件安装包）。
这个阶段是防守方第一次真正能“看见”攻击的机会。靠谱的邮件网关、Web防火墙、终端防病毒，再加上员工安全意识培训（看到陌生邮件先皱眉），都能在这个环节拦住大量攻击。记住：再强的武器，送不到目标就等于废铁。
阶段四：漏洞利用（Exploitation）—— 触发漏洞，让代码跑起来
邮件你点了，附件你开了，这时候攻击代码开始在系统上执行。它可能利用浏览器的内存溢出、Office的远程代码执行、或者某个服务的反序列化漏洞，最终目标是在你的机器上“跑起来”攻击者的指令。
这个阶段的防守靠的是实时安全监控——主机入侵检测、EDR（端点检测响应）、行为分析等等。不是说你装了杀毒软件就万事大吉，而是要看进程创建、注册表修改、敏感API调用这些“行为指纹”。很多勒索病毒就是在这个阶段被行为监控拦下来的，而不是靠特征库。
阶段五：安装植入（Installation）—— 扎下根，留个“后门房”
漏洞利用成功后，攻击者不会满足于一次性的执行权限，他要在你的系统里安个“家”——通常是一个持久化的后门程序，比如计划任务、服务自启、或者注册表启动项。这样即使系统重启，后门依然能重新连回来。
这个环节防守的关键是快速发现并隔离。如果你的终端安全软件能检测到未知进程创建自启动项，或者发现某个服务异常绑定端口，那就是警报拉响的时候。另外，管理策略要严格——普通用户不该有写入系统目录的权限，不该能随便修改计划任务。权限管控做得好，后门想装都装不进去。
阶段六：指挥与控制（Command and Control，C2）—— 连上线，遥控器在手
后门装好了，攻击者需要一条远程控制通道，让外部的命令能发进来，被控机器上的数据能传出去。这就是C2通道，通常表现为被控主机每隔几分钟向某个境外IP发一个HTTPS请求，或者用DNS隧道偷偷传数据。
这是防守方最后一次“拦截”的机会。如果你的防火墙、代理服务器、DNS解析记录里能发现这种异常的“心跳”流量，及时切断通信，那攻击者即使装了后门也派不上用场。访问控制策略和网络隔离在这里至关重要——比如生产网和办公网物理隔离、对外只开放必要端口、对出站流量做严格审计。
阶段七：目标行动（Actions on Objectives）—— 图穷匕见，该干嘛干嘛
前面六个步骤都走通了，最后就是攻击者的“最终目的”：偷数据、加密勒索、破坏系统、或者拿你当跳板去攻击别人。到这一步，说实话，防守基本已经来不及了。你能做的是把损失降到最低——断网、关机、启动应急响应、备份被加密前的数据、通知相关方。
我特别想说的是：很多单位把全部精力放在“事后赎金谈判”和“数据恢复”上，却很少复盘前六个阶段哪里出了漏洞。 这是典型的“开着窗户装防盗门”。真正有效的安全建设，是把预算和人手往前四个阶段倾斜——侦察、投送、利用、安装，每往前堵住一步，后面的损失就少一分。
一张图记住整个模型
你可以把杀伤链想象成射击比赛中的“瞄准—装弹—扣扳机—命中”，只不过多了几个中间环节。每个环节的防守措施，我整理成顺口溜：
侦察看日志，武器靠补丁；投送防邮件，利用靠监控；安装锁权限，C2断通道；目标已成真，应急别慌张。
我的个人看法：别被“链”字骗了
杀伤链模型最大的价值是给了我们一个结构化思考攻击的框架，但它并不是绝对的顺序——有些攻击会跳过某个阶段（比如直接用社工拿到密码，就不需要漏洞利用），有些会循环往复（比如先侦察、再投送、没成功、再侦察）。
所以，不要机械地套用“第几步该做什么”，而是把每个阶段对应的检测点和阻断点融入到日常的运维和监控中。比如你每天看安全告警的时候，下意识地想想：这属于哪个阶段的信号？是侦察期的扫探，还是C2期的心跳？久而久之，你就能形成“攻击链思维”，比那些只会堆安全设备的“合规式安全”强得多。
最后，送一句我常跟团队说的话：安全不是比谁防守得完美，而是比谁犯错更少、发现更快。 杀伤链给了你七个“刹车点”，能不能踩住，取决于你愿不愿意在每个点上花心思。希望这篇文章能帮你把这七个阶段记得更牢、用得更活。