Kill Chain 阶段映射是什么
洛克希德·马丁提出的七阶段攻击链模型：侦察、武器化、投递、利用、安装、命令控制、目标行动。把已发现的痕迹按阶段归位，就能回答「攻击者推进到哪一步、下一步最可能发生什么、处置重点放哪」。它描述的是单条攻击链，多条链并行时要按资产分别映射。
基本信息
| 适用场景 | 应急处置中判断攻击进度与处置顺序 |
|---|---|
| 七个阶段 | 侦察·武器化·投递·利用·安装·控制·行动 |
| 输出 | 阶段—痕迹—证据三列映射表 |
| 局限 | 不擅长刻画内部人员滥用与多链交织的场景 |
典型使用场景
- 决定先断网还是先固证：看攻击是否已进入控制或行动阶段
- 只拿到投递线索时，指导向利用与安装阶段定向取证，少走弯路
- 向管理层汇报：用阶段代替术语，直观看清风险位置
- 复盘定位防御缺口落在哪个阶段（邮件网关、EDR、出网管控）
- 多台主机同时中招时，判断是同一投递源还是多条独立链
阶段映射表模板
阶段映射表模板
阶段 | 本环境可能的痕迹 | 证据位置
侦察 | 资产扫描、目录爆破、漏洞探测 | WAF/IDS 日志、web 访问日志
投递 | 钓鱼邮件、恶意下载 | 邮件网关日志、代理日志
利用 | 子进程异常派生、应用崩溃 | 4688/Sysmon 1、应用错误日志
安装 | 计划任务、服务、启动项 | 4698/7045、Sysmon 13
控制 | 周期性外联会话 | 防火墙/代理日志、Sysmon 3
行动 | 批量读取、打包、外传 | 数据库审计、DLP、流量记录
# 未观测到的阶段写「未见证据」，不要写「未发生」按阶段定处置优先级
| 所处阶段 | 含义 | 常见处置 |
|---|---|---|
| 利用及之前 | 尚未建立稳定立足点 | 隔离受影响主机、封堵入口与投递源 |
| 安装与控制 | 已有持久化与外联通道 | 先固证再清理，同步排查横向范围 |
| 目标行动 | 数据可能已经流出 | 通知数据责任人，评估对外通报义务 |
Kill Chain 是线性视角，真实攻击常有回环：拿到新凭据后会回到横向阶段。映射以证据语义为准，不要为了凑顺序牺牲时间线。
「未见证据」与「未发生」必须分开写。把没查到当成没发生，会在报告里形成事实性错误，直接影响影响面判断。