高级长期威胁

定义

高级长期威胁指的是一种以长期潜伏和持续控制为特征的网络攻击模式，攻击方通常是组织化团体，具备较强的资金、人员与技术条件^[1]。它的三个构成要素可分别理解为：手段上的“高级”，即需要较高的定制化开发与漏洞研究投入；时间上的“长期”，即持续监控并以反复进入的方式维持对目标的访问；后果上的“威胁”，即攻击由人策划、指向高价值组织，得手后可能造成重大损失。

与普通入侵相比，高级长期威胁不以一次性得手为目标，而是在被攻击网络中隐蔽驻留、尽可能多地控制设备，并在不被察觉的情况下抽取数据^[1]。有研究指出，“高级”是相对概念，取决于攻击方能力与防守方反制能力之间的落差；“长期”也不必然表现为长连接或心跳，而可能体现为反复进入的能力，其持续性取决于攻击方的作业意志与成本支撑^[3]。

在威胁分类上，这类攻击常按支持来源与目的划分为国家支持型、犯罪型与意识形态驱动型；其中犯罪型组织在技术复杂度上与国家级团体接近，但动机偏向经济收益。判定是否属于此类威胁，通常看攻击方能力水平、行动持续时间与目标针对性三项标准^[4]。

原理

这类攻击可拆为若干阶段理解。常见划分包括侦察、初始访问、执行、持久化、权限提升与横向移动、收集与外传、达成目标；侦察阶段仅 MITRE ATT&CK 就记录了 43 项子技术，初始访问多以鱼叉式钓鱼、面向公网应用的漏洞利用、供应链植入与信任关系滥用为主^[4]。另有分析将其归纳为渗透、扩张与提取三个可扩展阶段，分别对应寻找后门或利用漏洞进入、像蠕虫般在网络内扩散、将文件集中存放后外传并以拒绝服务等噪声掩护^[1]。

较具影响力的描述框架是 洛克希德-马丁 提出的网络杀伤链，把攻击分为信息收集、武器构建、载荷投送、漏洞利用、安装、命令与控制、行动七个环节；越靠前的环节被阻断，防守方的修复成本越低。与之配套的还有钻石模型，从攻击者、受害者、基础设施与能力四个顶点描述单次事件，并附上时间、阶段、结果等元数据。

通信与控制环节是这类攻击的支撑点。对 33 个攻击行动样本的分析显示，缺少命令与控制服务器时攻击无法继续，其地址多依赖域名系统；81% 的行动使用 HTTP(S) 承载规避技术，45% 使用 DNS 进行解析与隧道传输，60.6% 的行动把流量拆分到多个 IP 地址以避开基于流量特征的检测^[5]。防守方由此把 DNS 查询、加密信道与多跳基础设施视为重点观测面^[6]。

为对抗检测，攻击方常用无文件驻留、多轮编码、合法进程滥用与模块化组件分工。例如某类工具链以脚本为初始加载器、以注册表为存储、由解码组件承担环境逃逸、由核心后门负责指令解析与通信，最终加载公开的渗透框架完成内网控制^[7]。也有组织在 Windows 端防护加强后转向 Linux 服务器，采用下载器、启动器、后门三段式链条，并仿冒 cron 等系统实用程序来隐藏自身^[8]。

检测侧通常借助行为关联而非单一特征。把各阶段异常按时间关联、还原攻击链条，被视为应对这类威胁的基本思路；MITRE ATT&CK 以“战术—技术”两层矩阵枚举各阶段手法，其中战术回答“做了什么”，技术回答“怎么做”^[9]。下图示意一种典型的链条组织方式：

flowchart LR

A[侦察与情报收集] --> B[初始访问:钓鱼/漏洞]

B --> C[执行与植入]

C --> D[持久化]

D --> E[权限提升与横向移动]

E --> F[收集与外传]

F --> G[达成目标]

D --> H[命令与控制信道]

H --> E

发展历程

该术语的出现与针对敏感信息的定向社会工程邮件有关。2005 年，英国与美国的计算机应急响应组织识别出以投放木马、窃取信息为目的的定向邮件攻击，但当时尚未使用这一名称；2006 年，美国空军的格雷格·拉特雷（Greg Rattray）上校被普遍认为引入了“高级持续性威胁”这一说法，用以概括具有坚定攻击意志、服务于长期战略目标的复杂对手^[10]。也有研究者转述称，该词最早出现于 2006 年美国空军第八航空队的一次内部会议^[11]。

2009 年以后，多起攻击行动接连被公开，部分被认定获得国家级支持，术语随之进入大众视野^[2]。2010 年前后出现的 Flame、Gauss、Red October 等恶意程序被视为这类活动的代表；据国家互联网应急中心的态势报告，2012 年中国境内至少有 4.1 万余台主机感染了具有此类特征的程序^[2]。

此后分析框架逐步成型：网络杀伤链被广泛用于分阶段描述攻击，ATT&CK 矩阵则把已知组织的手法系统化为可检索的知识库，并收录了 130 多个具名威胁组织及其战术、技术与程序^[4]。近年的公开报告显示，攻击方在初始接近与横向移动上更多采用中间技术，并向 Linux 服务器、云与边缘设备扩展，容器与虚拟化环境也逐渐进入观测范围^[12]。

应用

这一概念主要用于威胁建模与防御资源配置。防守方依据攻击阶段设计分层措施：在侦察与投送环节做邮件与网页过滤、限制可移动介质；在执行与持久化环节限制管理员权限、审计自启动项与计划任务；在通信环节监测异常 DNS 查询与加密外联。

在标准与合规层面，相关要求被写入针对承包商的供应链安全管理框架。美国国防部推动的受控非密信息保护要求与网络安全成熟度认证，即是针对此类持续入侵防务承包商活动而设，要求处理受控非密信息的承包商接受第三方评估^[4]。

在威胁情报与应急响应中，战术、技术和程序（TTP）是刻画攻击方的主要载体，用于归集样本、比对手法并生成狩猎规则^[1]。公开研究也从 667 份威胁情报报告中系统提取了 594 项 ATT&CK 技术，归纳出 19 项高频手法与 425 组共现技术对，用于指导检测规则编写^[13]。

在检测工程中，溯源图类方法把系统调用与网络事件组织成因果关系图，以发现跨阶段的异常链条；相关综述汇总了 2017 至 2025 年的 76 项研究，并指出报告口径不一致会影响结果可比性^[14]。端点检测产品也普遍以 ATT&CK 技术标签组织规则库，用于威胁狩猎与产品能力对照^[15]。

局限

归因是首要难点。攻击方多以团队形式作业，追踪到具体个人往往走到死胡同，实践上只能借助战术、技术和程序留下可追溯记录^[1]。研究还发现，多数威胁组织在公开知识库中缺乏独特的行为签名，仅约 34% 的组织在 ATT&CK 中有专属技术，这使单靠行为特征判断幕后组织的可靠性有限^[16]。

检测能力也存在结构性缺口。有研究指出，许多技术难以转化为可落地的检测规则，覆盖率并不等于对现实威胁的实际防护；不同厂商为同一恶意实体标注的技术标签一致性很低，同一系统级行为常被归入不同技术^[15]。此外，ATT&CK 最初是描述性知识库而非流程模型，只有 35.6% 的技术出现在至少一个行动对象中，且缺少顺序、前置条件与环境假设等可执行语义^[17]。

概念边界同样模糊。杀伤链假设流程线性推进，实际攻击常跳过、重复或重排步骤，甚至以树状方式分叉，使按阶段布防的模型难以完全覆盖。驻留时间方面，2023 年检测前的平均驻留时间为 16 天，较 2022 年的 21 天缩短，但针对特定行业的定向行动仍有超过 200 天的记录；检测灵敏度提升又会带来告警量与误报的运营压力^[4]。

防护策略本身也面临取舍。组织在发现入侵后立即清除可能导致攻击方警觉、丧失情报收集机会，而执法机构有时要求保留受控访问；这与各州泄露通知义务及行业披露规则存在冲突^[4]。这说明此类威胁的应对不仅是技术问题，也牵涉披露制度与情报需求的平衡。

参见

• MITRE ATT&CK —— 按战术与技术枚举攻击手法的公开知识库，是本词条描述攻击行为的主要参照。

• 洛克希德-马丁 —— 提出网络杀伤链的企业，该模型常被用于分阶段拆解此类攻击。

• 网络杀伤链 —— 描述攻击从侦察到达成目标的七环节模型。

• 零日漏洞 —— 尚未公开修补的软件缺陷，常被此类攻击用于初始访问与权限提升。

• 威胁情报 —— 收集与分析攻击方战术、技术与程序的知识体系。

• 鱼叉式钓鱼 —— 针对特定对象定制的诱导邮件手法，是常见的初始入口之一。