高隐蔽网络公害利用其复杂多变的匿迹技术，使得传统的检测和防御手段难以奏效。攻击者通常采用多阶段、多层次的隐匿攻击策略，其所导致的数据遮蔽、特征伪装、行为透明和时空释痕等匿迹效应导致常规安全检测方法与模型的失效。上述匿迹攻击手法不仅增强了攻击的隐蔽性，也增加了攻击溯源和取证的难度。

本课题计划在子任务一中开展对于高隐蔽网络公害的致效机理分析以及深层次匿迹机理刻画的研究，同时构建高隐蔽网络公害匿迹技战术矩阵模型作为课题其他研究的理论基础。

高隐蔽网络公害匿迹技战术矩阵

目标侦查 攻击准备 初始入侵 攻击执行 入侵维持 权限提升 防御规避 凭据获取 环境测绘 横向渗透 信息收集 命令控制 数据渗出 影响释放
10 techniques 8 techniques 10 techniques 14 techniques 20 techniques 14 techniques 44 techniques 17 techniques 32 techniques 9 techniques 17 techniques 18 techniques 9 techniques 14 techniques
主动扫描 (3)
=
信息钓鱼 (4)
=
搜索受害者拥有的网站 (3)
=
搜索开放技术数据库 (4)
=
搜索开放网站/域 (3)
=
搜索闭源 (3)
=
收集受害者主机信息 (4)
=
收集受害者组织信息 (3)
=
收集受害者网络信息 (3)
=
收集受害者身份信息 (3)
=
基础设施妥协 (4)
=
建立账户 (4)
=
开发能力 (4)
=
暂存能力 (3)
=
获取基础设施 (4)
=
获取能力 (4)
=
获取访问权限 (4)
=
账号妥协 (4)
=
供应链破坏 (3)
=
信任关系
内容注入 (3)
=
利用公开应用程序漏洞
外部远程服务
有效账户 (2)
=
浏览器攻击
硬件附加
通过可移动媒体复制 (4)
=
钓鱼 (4)
=
Windows管理规范 (2)
=
云管理命令 (4)
=
共享模块 (2)
=
命令与脚本解释器 (5)
=
客户端执行漏洞利用
容器管理命令 (4)
=
无服务器执行
本机API (4)
=
用户执行 (3)
=
系统服务 (3)
=
软件部署工具 (2)
=
进程间通信 (4)
=
部署容器
预定任务/作业 (3)
=
BITS任务 (3)
=
主机软件二进制文件妥协 (4)
=
事件触发执行 (4)
=
修改身份验证过程 (4)
=
创建或修改系统进程 (3)
=
创建账户 (4)
=
办公应用启动 (4)
=
劫持执行流 (3)
=
启动或登录初始化脚本 (4)
=
启动或登录自动启动执行 (5)
=
外部远程服务
有效账户 (2)
=
服务器软件组件 (4)
=
植入内部镜像 (3)
=
流量激活 (2)
=
浏览器扩展 (3)
=
电源设置 (4)
=
账号操控 (4)
=
预定任务/作业 (3)
=
预操作系统引导 (3)
=
事件触发执行 (4)
=
创建或修改系统进程 (3)
=
劫持执行流 (3)
=
启动或登录初始化脚本 (4)
=
启动或登录自动启动执行 (5)
=
域或租户策略修改 (3)
=
有效账户 (2)
=
权限提升漏洞利用
滥用权限提升控制机制 (4)
=
访问令牌操控 (4)
=
账号操控 (4)
=
进程注入 (4)
=
逃逸至主机
预定任务/作业 (3)
=
BITS任务 (3)
=
Plist文件修改
Rootkit
XSL脚本处理 (2)
=
伪装 (5)
=
伪装
伪造域控制器
使用备用认证材料 (3)
=
修改云计算基础设施 (4)
=
修改云资源层次结构 (3)
=
修改注册表
修改系统镜像 (4)
=
修改身份验证过程 (4)
=
削弱加密
劫持执行流 (3)
=
反射性代码加载 (4)
=
反混淆/解码文件或信息
可信开发者工具代理执行 (3)
=
在主机上构建镜像 (4)
=
域或租户策略修改 (3)
=
妨碍防御 (4)
=
执行保护 (4)
=
文件和目录权限修改 (3)
=
有效账户 (2)
=
未使用/不受支持的云区域 (2)
=
模板注入
流量激活 (2)
=
混淆文件或信息 (5)
=
滥用权限提升控制机制 (4)
=
直接卷访问
移除指标 (4)
=
系统二进制代理执行 (3)
=
系统脚本代理执行 (3)
=
网络边界桥接 (3)
=
虚拟化/沙盒规避 (2)
=
访问令牌操控 (4)
=
调试器规避
进程注入 (4)
=
部署容器
间接命令执行 (3)
=
防御规避漏洞利用
隐藏伪装 (4)
=
预操作系统引导 (3)
=
颠覆信任控制 (3)
=
中间人攻击 (4)
=
从密码存储中获取凭证 (4)
=
伪造Web凭证 (3)
=
修改身份验证过程 (4)
=
凭据访问漏洞利用
多因素身份验证拦截 (4)
=
多因素身份验证请求生成 (3)
=
强制身份验证
操作系统凭证转储 (4)
=
暴力破解 (4)
=
未加密凭证 (3)
=
窃取Web会话Cookie (2)
=
窃取应用访问令牌 (1)
=
窃取或伪造Kerberos票据 (3)
=
窃取或伪造身份认证证书
网络嗅探 (4)
=
输入捕获 (4)
=
云基础设施发现 (3)
=
云存储对象发现 (3)
=
云服务发现 (3)
=
云服务控制面板 (3)
=
域信任发现
外围设备发现 (3)
=
容器与资源发现 (4)
=
密码策略发现
应用窗口发现 (4)
=
文件和目录发现
日志枚举 (3)
=
权限组发现 (4)
=
查询注册表
浏览器信息发现 (4)
=
系统位置发现 (2)
=
系统信息发现 (2)
=
系统所有者/用户发现 (2)
=
系统时间发现 (2)
=
系统服务发现 (2)
=
系统网络连接发现 (2)
=
系统网络配置发现 (3)
=
组策略发现
网络共享发现 (3)
=
网络嗅探 (4)
=
网络服务发现 (2)
=
虚拟化/沙盒规避 (2)
=
设备驱动程序探测
调试器规避
账号发现 (3)
=
软件发现 (2)
=
进程发现 (4)
=
远程系统发现 (4)
=
使用备用认证材料 (3)
=
内部鱼叉式钓鱼 (2)
=
横向工具传输 (3)
=
污染共享内容
软件部署工具 (2)
=
远程服务 (3)
=
远程服务会话劫持 (4)
=
远程服务漏洞利用
通过可移动媒体复制 (4)
=
中间人攻击 (4)
=
从云存储获取数据 (4)
=
从信息存储库获取数据 (4)
=
从可移动介质获取数据
从本地系统获取数据 (5)
=
从网络共享驱动器获取数据
从配置存储库获取数据 (4)
=
剪贴板数据 (4)
=
屏幕捕获 (3)
=
归档收集数据 (4)
=
数据分段 (4)
=
浏览器会话劫持 (3)
=
电子邮件收集 (4)
=
自动化收集 (3)
=
视频捕获 (2)
=
输入捕获 (4)
=
音频捕获 (4)
=
代理 (3)
=
内容注入 (3)
=
加密通道 (3)
=
动态解析 (4)
=
协议隧道 (4)
=
回退信道
多阶段信道 (3)
=
应用层协议 (4)
=
数据混淆 (3)
=
数据编码 (3)
=
流量激活 (2)
=
网络服务 (2)
=
输入工具传输 (3)
=
远程访问软件 (4)
=
通过可移动媒体通信 (3)
=
隐藏基础设施
非应用层协议
非标准端口
传输数据至云账户 (1)
=
数据传输大小限制 (3)
=
替代协议渗出 (4)
=
自动化渗出 (3)
=
通过C2信道渗出
通过其他网络介质渗出 (3)
=
通过物理介质渗出 (3)
=
通过网络服务渗出 (3)
=
预定传输 (2)
=
固件篡改
数据加密以实现影响 (4)
=
数据操控 (4)
=
数据销毁 (4)
=
服务停止 (3)
=
磁盘擦除 (3)
=
篡改 (4)
=
系统关机/重启 (2)
=
系统恢复抑制 (3)
=
终端拒绝服务 (4)
=
网络拒绝服务 (3)
=
财务窃取
账号访问移除 (3)
=
资源劫持 (3)
=
目标侦查 攻击准备 初始入侵 攻击执行 入侵维持 权限提升 防御规避 凭据获取 环境测绘 横向渗透 信息收集 命令控制 数据渗出 影响释放
10 techniques 8 techniques 10 techniques 14 techniques 20 techniques 14 techniques 44 techniques 17 techniques 32 techniques 9 techniques 17 techniques 18 techniques 9 techniques 14 techniques
=
主动扫描 (3)
=
信息钓鱼 (4)
=
搜索受害者拥有的网站 (3)
=
搜索开放技术数据库 (4)
=
搜索开放网站/域 (3)
=
搜索闭源 (3)
=
收集受害者主机信息 (4)
=
收集受害者组织信息 (3)
=
收集受害者网络信息 (3)
=
收集受害者身份信息 (3)
=
基础设施妥协 (4)
=
建立账户 (4)
=
开发能力 (4)
=
暂存能力 (3)
=
获取基础设施 (4)
=
获取能力 (4)
=
获取访问权限 (4)
=
账号妥协 (4)
=
供应链破坏 (3)
信任关系
=
内容注入 (3)
利用公开应用程序漏洞
外部远程服务
=
有效账户 (2)
浏览器攻击
硬件附加
=
通过可移动媒体复制 (4)
=
钓鱼 (4)
=
Windows管理规范 (2)
=
云管理命令 (4)
=
共享模块 (2)
=
命令与脚本解释器 (5)
客户端执行漏洞利用
=
容器管理命令 (4)
无服务器执行
=
本机API (4)
=
用户执行 (3)
=
系统服务 (3)
=
软件部署工具 (2)
=
进程间通信 (4)
部署容器
=
预定任务/作业 (3)
=
BITS任务 (3)
=
主机软件二进制文件妥协 (4)
=
事件触发执行 (4)
=
修改身份验证过程 (4)
=
创建或修改系统进程 (3)
=
创建账户 (4)
=
办公应用启动 (4)
=
劫持执行流 (3)
=
启动或登录初始化脚本 (4)
=
启动或登录自动启动执行 (5)
外部远程服务
=
有效账户 (2)
=
服务器软件组件 (4)
=
植入内部镜像 (3)
=
流量激活 (2)
=
浏览器扩展 (3)
=
电源设置 (4)
=
账号操控 (4)
=
预定任务/作业 (3)
=
预操作系统引导 (3)
=
事件触发执行 (4)
=
创建或修改系统进程 (3)
=
劫持执行流 (3)
=
启动或登录初始化脚本 (4)
=
启动或登录自动启动执行 (5)
=
域或租户策略修改 (3)
=
有效账户 (2)
权限提升漏洞利用
=
滥用权限提升控制机制 (4)
=
访问令牌操控 (4)
=
账号操控 (4)
=
进程注入 (4)
逃逸至主机
=
预定任务/作业 (3)
=
BITS任务 (3)
Plist文件修改
Rootkit
=
XSL脚本处理 (2)
=
伪装 (5)
伪装
伪造域控制器
=
使用备用认证材料 (3)
=
修改云计算基础设施 (4)
=
修改云资源层次结构 (3)
修改注册表
=
修改系统镜像 (4)
=
修改身份验证过程 (4)
削弱加密
=
劫持执行流 (3)
=
反射性代码加载 (4)
反混淆/解码文件或信息
=
可信开发者工具代理执行 (3)
=
在主机上构建镜像 (4)
=
域或租户策略修改 (3)
=
妨碍防御 (4)
=
执行保护 (4)
=
文件和目录权限修改 (3)
=
有效账户 (2)
=
未使用/不受支持的云区域 (2)
模板注入
=
流量激活 (2)
=
混淆文件或信息 (5)
=
滥用权限提升控制机制 (4)
直接卷访问
=
移除指标 (4)
=
系统二进制代理执行 (3)
=
系统脚本代理执行 (3)
=
网络边界桥接 (3)
=
虚拟化/沙盒规避 (2)
=
访问令牌操控 (4)
调试器规避
=
进程注入 (4)
部署容器
=
间接命令执行 (3)
防御规避漏洞利用
=
隐藏伪装 (4)
=
预操作系统引导 (3)
=
颠覆信任控制 (3)
=
中间人攻击 (4)
=
从密码存储中获取凭证 (4)
=
伪造Web凭证 (3)
=
修改身份验证过程 (4)
凭据访问漏洞利用
=
多因素身份验证拦截 (4)
=
多因素身份验证请求生成 (3)
强制身份验证
=
操作系统凭证转储 (4)
=
暴力破解 (4)
=
未加密凭证 (3)
=
窃取Web会话Cookie (2)
=
窃取应用访问令牌 (1)
=
窃取或伪造Kerberos票据 (3)
窃取或伪造身份认证证书
=
网络嗅探 (4)
=
输入捕获 (4)
=
云基础设施发现 (3)
=
云存储对象发现 (3)
=
云服务发现 (3)
=
云服务控制面板 (3)
域信任发现
=
外围设备发现 (3)
=
容器与资源发现 (4)
密码策略发现
=
应用窗口发现 (4)
文件和目录发现
=
日志枚举 (3)
=
权限组发现 (4)
查询注册表
=
浏览器信息发现 (4)
=
系统位置发现 (2)
=
系统信息发现 (2)
=
系统所有者/用户发现 (2)
=
系统时间发现 (2)
=
系统服务发现 (2)
=
系统网络连接发现 (2)
=
系统网络配置发现 (3)
组策略发现
=
网络共享发现 (3)
=
网络嗅探 (4)
=
网络服务发现 (2)
=
虚拟化/沙盒规避 (2)
设备驱动程序探测
调试器规避
=
账号发现 (3)
=
软件发现 (2)
=
进程发现 (4)
=
远程系统发现 (4)
=
使用备用认证材料 (3)
=
内部鱼叉式钓鱼 (2)
=
横向工具传输 (3)
污染共享内容
=
软件部署工具 (2)
=
远程服务 (3)
=
远程服务会话劫持 (4)
远程服务漏洞利用
=
通过可移动媒体复制 (4)
=
中间人攻击 (4)
=
从云存储获取数据 (4)
=
从信息存储库获取数据 (4)
从可移动介质获取数据
=
从本地系统获取数据 (5)
从网络共享驱动器获取数据
=
从配置存储库获取数据 (4)
=
剪贴板数据 (4)
=
屏幕捕获 (3)
=
归档收集数据 (4)
=
数据分段 (4)
=
浏览器会话劫持 (3)
=
电子邮件收集 (4)
=
自动化收集 (3)
=
视频捕获 (2)
=
输入捕获 (4)
=
音频捕获 (4)
=
代理 (3)
=
内容注入 (3)
=
加密通道 (3)
=
动态解析 (4)
=
协议隧道 (4)
回退信道
=
多阶段信道 (3)
=
应用层协议 (4)
=
数据混淆 (3)
=
数据编码 (3)
=
流量激活 (2)
=
网络服务 (2)
=
输入工具传输 (3)
=
远程访问软件 (4)
=
通过可移动媒体通信 (3)
隐藏基础设施
非应用层协议
非标准端口
=
传输数据至云账户 (1)
=
数据传输大小限制 (3)
=
替代协议渗出 (4)
=
自动化渗出 (3)
通过C2信道渗出
=
通过其他网络介质渗出 (3)
=
通过物理介质渗出 (3)
=
通过网络服务渗出 (3)
=
预定传输 (2)
固件篡改
=
数据加密以实现影响 (4)
=
数据操控 (4)
=
数据销毁 (4)
=
服务停止 (3)
=
磁盘擦除 (3)
=
篡改 (4)
=
系统关机/重启 (2)
=
系统恢复抑制 (3)
=
终端拒绝服务 (4)
=
网络拒绝服务 (3)
财务窃取
=
账号访问移除 (3)
=
资源劫持 (3)