3-8 难以防范的针对型攻击 · 波仔的网络与信息安全课

📄 一句话概括

针对型攻击（含被称为 APT 的那一类）与普通攻击的差别不在技术高低，而在三条：有明确目标、有耐心、有资源——它全程用你自己的工具和你的合法账号，所以单独看每一步都【合法】，只有把顺序连起来才看得出不对劲。

📝 本节和前面几节的关系

前面四节（3-4、3-5、3-6、3-7）讲的都是量大面广、可以批量对付的攻击。这一节换到另一端：只针对你一家、可以耗上几个月的攻击。

它的技术结论直接落在第二章的几节上：光有日志没用，得有人看得过来（2-11）、把信任本身缩小（2-9 的默认拒绝、2-13 的分段）。

一、什么叫【针对型】

先分清两类攻击的形态：

	撒网型（机会型）	针对型
目标选择	扫到谁算谁	点名叫号
入口	广撒的漏洞、海量的邮件	为你定制（研究你的供应商、你的员工、你的习惯）
时间尺度	一次不成就换下一个	可以耗几个星期到几个月
用什么工具	现成的、公开的恶意程序	大量使用你系统里本来就有的工具
被发现的方式	特征、规则	几乎只能靠行为序列

教材里把这一类的极端形态叫作【复杂可持续威胁攻击】（行业中更常见的叫法是高级持续性威胁，英文缩写 APT）。这三个字里最关键的是持续性——它不追求【进来那一下】，它追求【待得住】。

二、为什么它难防：它不用【造新工具】

这是本节最核心的一句话：

它不落新文件、不装新软件，全程用你的工具。

它能用的东西包括：脚本解释器、系统管理接口、远程桌面、计划任务、备份软件、系统自带的证书与下载工具……

这些都是正常管理员天天在用的东西。 所以：

按文件特征查——查不到，因为没有可疑文件；
按进程名拦——拦不了，因为这些进程本来就该出现；
按账号权限看——看不出，因为它用的是真账号（偷来的或骗来的）。

唯一能分辨的角度是【顺序与上下文】：谁调起的、什么时间、接下来连了哪里、之后再干了什么。这就是第一章三要素以外的特性讲的【有效日志要能回答人·时间·动作·对象】，也是 2-11 讲的【看行为序列】在具体场景里的样子。

三、动手 Demo：把【驻留时间】换算成【你有多久没发现】

for days in (14, 95):
    print(days, days * 24, days * 24 * 60)

实跑输出：

一、驻留时间（从进来的那刻到被发现，中间隔多久）
  全球中位驻留时间        14 天（上一年 11 天）
  国家级 APT 长期间谍活动 122 天
  另一个口径的平均值      95 天

二、把这个数字换成【你有多久没发现】
  14 天   336 小时          20,160 分钟         持续被控、持续外传
  95 天   2,280 小时        136,800 分钟        持续被控、持续外传
  → 14 天里如果每天外传一次，就是 14 次数据搬走；
    95 天就是 95 次。取证要看的日志量按分钟计，
    这就是【为什么光有日志没用，得有人看得过来】。

三、初始入侵手段的排序变了（2025 年针对性攻击事件）
  手段            占比    说明
  ----------------------------------------------------------------------------------------------
  漏洞利用        32%     连续第六年第一；目标从通用服务器转向企业业务平台
  语音钓鱼        11%     首次跃居第二——打电话绕开了邮件网关与 URL 过滤
  电子邮件钓鱼    6%      从 14% 骤降到 6%：不是钓鱼少了，是换了渠道
  其他            51%     含凭据滥用、供应链、内部人员、物理接触等

四、为什么针对型攻击难防：它全程用【你的工具】
  它不落新文件、不装新软件，只用这些：
    · PowerShell
    · WMI
    · 远程桌面 RDP
    · 计划任务
    · 备份软件
    · 系统自带的证书工具
  → 单独看每一步都【合法】：管理员本来就会用 PowerShell。
    只有把【谁调的、什么时间、接下来干了什么】连起来看，
    才看得出不对劲。这是第二章 2-11 讲的【看行为序列】。

① APT 与普通攻击的差别有三条：
   一是有【明确目标】（不是随机扫描，是点名叫号）；
   二是有【耐心】（14 天、95 天、122 天都可以）；
   三是有【资源】（能持续投入人月去找一个入口）。
② 所以对付它不能指望【一次拦住】，只能压缩两件事：
   【多久能发现】和【发现后多久能断干净】。
③ 一个可以被小单位用上的结论：既然它靠【信任】——信凭据、
   信工具、信内网——那就把【信任】本身缩小：
   最小权限、分段（2-13）、默认拒绝（2-9）。

读这个输出：第三张小表是最值得琢磨的——它说明【入口】这件事正在从技术转向人：

漏洞利用还是第一（32%），但目标从通用服务器转向了企业业务平台（也就是说，攻击者开始挑业务价值高、而且往往更难打补丁的系统）；
语音钓鱼（打电话）第一次跃居第二（11%），而邮件钓鱼从 14% 骤降到 6%——这不是【钓鱼变少了】，是换了渠道：打电话绕开了所有自动化防线（邮件网关、链接检查、附件沙盒统统不参与），它直接跟人对话。

所以【我们的技术防线很全】这句话，需要配一句【但人的那一环谁在管】。

四、⚠️ 2026 现状

驻留时间在变长。 2026 年的报告显示全球中位驻留时间从 11 天升到 14 天；而国家级背景的长期活动可以到 122 天。另一个口径给出的平均值是95 天。这三个数字放在一起说明一件事：从【被攻陷】到【发现】，中间的时间窗口是以【周】甚至【月】计的。
入口的第一名连续六年没变，但目标在变。 漏洞利用连续第六年排在初始入侵手段第一位（32%）；变化在于攻击对象从通用服务器转向企业级业务平台——因为这类系统往往直接承载业务、且不容易停机打补丁。
【用你自己的合法工具】是这一类的标志性手法。 2026 年的公开分析里反复出现的模式是：攻击者用偷来的凭据登录，然后借系统自带的管理与远程工具在内网里移动。这个模式的可怕之处在于它让【有没有可疑文件】这个问题失去意义——所以检测的重心已经明确转向行为序列与身份异常（【某个管理员账号在凌晨从没去过的地址登录】这类）。
老漏洞仍然是主力。 一份 2026 年的分析给出一组很尖锐的数据：在网络攻击签名里被引用最多的 50 个漏洞，披露年份的中位数是 2014 年；44 个引用了具体编号的签名里，有 31 个针对的是至少十年前的问题。也就是说——针对型攻击很【高级】，但它进门的那个洞，往往是个很旧的洞。这条给所有小单位的含义是正向的：把该打的补丁打完，就能挡掉一大半。
供应链成了常态通道。 2026 年被公开的多起事件里，攻击者不去攻最终目标，而是去攻它的软件供应商或构建环节（往公开的软件包里投毒、劫持自动构建流程）。这类事件的特点是一次污染、多点开花——所以【我用的是正规软件】这个判断，在某些时候不足以保证安全。
【合并】是 2026 年的关键词之一：报告里提到接手他人已攻陷的访问权（一方负责突破、另一方负责取数据与勒索，交接时间可以压缩到几十秒）。也就是说，同一次入侵里可能有两拨人——这让【归因】变得更难，也让【发现一个异常就没下文】这种处置变得更危险。

30 秒实验

今天只做一件事：在你的邮箱或办公系统里，翻一下你最近 30 天的登录记录（多数平台在【账号安全】或【活动记录】里提供）。

看有没有你没做过的登录（不同城市、不同设备、凌晨时段）；
看有没有多出来的【转发规则】【别名】【已授权应用】——这三样是长期潜伏最常用的落脚点；
有任何一个看不懂的，先改口令 + 登出所有设备，再问 IT。

如果你是管理员，把这件事升级成一条规则：给所有管理员账号开登录告警，并定期（每月一次）拉一遍【授权应用】和【转发规则】清单。这一条的成本很低，但它对付的正是本节讲的那种待得住的攻击。

这一节要带走的一句是：它进来之后不吵不闹，用的是你的工具、你的账号、你的信任——所以对付它的办法不是【把门关得更死】，而是把信任本身缩小，并且保证【异常】这件事有人看得见。

常见误区

错误：这种攻击是国家级别的事，小单位碰不上。——纠正：【针对型】不等于【国家级】。 判断依据在目标选择与耐心，不在攻击者是谁：一个专门盯着某个行业的中小企业的团伙，也完全符合【针对型】的定义。而且现实中的路径往往是：国家级行动先攻下供应链或服务商，再顺手带走下游的一批客户——你不需要成为目标，你也可能是【顺路】的那一个。 对小单位真正可用的结论反而很朴素：把旧漏洞打掉、把管理账号管住，这两条对【高级】和【低级】攻击一样有效。
错误：我们装了全套安全设备，日志也留存了，应该能发现。——纠正：【有日志】和【看得出来】是两件事。 本节 Demo 第二张表算过：14 天的被控窗口，按分钟计就是两万分钟；而攻击者用的全是合法工具——日志里没有一条【恶意】记录。要发现它，需要的是把不同来源的行为按同一个人、同一台机器串起来看（这正是 2-12 讲集中管理的理由）。所以正确的问题不是【我们有没有日志】，而是【谁在看、多久看一次、看的是不是关联】。
错误：我们没被入侵，因为我们没发现任何异常。——纠正：【没发现异常】和【没有异常】是两回事，而驻留时间这个指标正是用来衡量这个差距的。三个数据点摆在一起：中位 14 天、平均 95 天、长期活动 122 天——这意味着【我们很干净】这个结论，在缺乏主动检查的前提下，只能说明【我们还没看到】。 一个务实的做法是把问题反过来问：【如果现在就有人在我的网里，我最可能从哪里看出来？】——然后去检查那几个地方（异常登录、多出来的授权、非工作时间的批量访问）。
错误：知道了是哪个组织干的，就可以针对性防御。——纠正：归因主要是法律与外交层面的事，防御层面帮不上多少忙。 而且 2026 年出现了一个新情况：有的攻击会刻意模仿别的组织的习惯手法，让归因指向错误的方向；同时同一次入侵里可能有多拨人接力。对防御者来说，可复用的是【手法】而不是【名字】——防护措施的落脚点永远是那几件具体的事：补丁、身份、权限、分段、可见性。

自测三问（点开对答案）

1. 为什么【用你自己的工具】会让传统检测失效？ —— 因为**传统检测的判据是【这个东西本身是不是坏的】**：文件是不是在坏文件清单上、进程是不是可疑程序、访问的地址是不是恶意地址。而针对型攻击**这三样全部避开**：文件是系统自带的、进程名是正常的、地址可能是你公司自己的服务。**每一个单独的观察点都得到【正常】的结论。** 能分辨它的是**组合与顺序**——比如「一个平时不用的管理员账号，在凌晨从没出现过的地址登录，接着用系统自带工具访问了财务共享盘，然后出现了一次大流量外发」——**这条链子里的每一步都合法，但连起来不合理。** 这就是为什么检测的着力点必须从【对象】移到【序列】。 2. 为什么【语音钓鱼】超过【邮件钓鱼】这件事值得单独注意？ —— 因为**它证明了一个防御原理：只堵一条渠道，攻击者会换渠道。** 电子邮件这条渠道过去几年被加固得最好——**网关过滤、链接检查、附件沙盒、邮件认证**，一层层叠上去之后，**邮件钓鱼的成本被抬高了**。结果攻击者的反应不是【更努力地写邮件】，而是**换到打电话**（2026 年它第一次跃到初始入侵手段第二位）。**打电话之所以有效，恰恰因为【实时人际交互】这条路上没有任何自动化设备参与**：没有网关可以拦、没有链接可以查、没有人脸识别可以对照。**这条对防御的启示是：你加固得最好的那条路，也是攻击者最先放弃的那条路——所以要问的不是【哪个渠道最危险】，而是【哪个渠道还没人管】。** 3. 既然【旧漏洞占了大头】，为什么还叫【难以防范】？ —— 因为**【难防】来自它的第二、第三只手，而不是第一只手**。进门那一下确实常常是旧漏洞（**这部分对小单位是好消息：把补丁打完就能挡掉一大半**）；但它进门之后**不吵不闹：用合法工具、待上几个星期、分多次慢慢把数据带走**——**这一部分才是【难】的地方**：它不触发特征、不引发告警、不违反任何写死的规则，**只违反【这不像你平时会做的事】这个软判据**。所以一条完整的对策也要分两半：**入口侧靠纪律（补丁、口令、多因子、不回邮件里进登录页），内部侧靠可见性（关联起来看行为、把信任缩小）。**

☐ 下一节（3-9 需要当心的其他网页安全威胁）