目标侦查

高隐蔽网络公害中的目标侦查战术是指攻击者通过动态伪装、行为稀释与信息熵控制等手段，将情报收集活动融入网络业务基线，实现侦查行为不可辨识性与攻击意图不可关联性的对抗策略。

在匿迹技战术框架下，目标侦查的核心在于构建多维混淆体系与自适应交互机制。攻击者通过分布式代理资源池实现流量源头的物理隔离，结合协议级行为仿真技术使探测流量与业务交互特征保持形态一致性。采用时间维度分散化策略，将扫描任务拆解为低强度、长周期的离散事件，规避传统时序关联检测模型的识别阈值。同时，利用网络服务固有功能（如搜索引擎高级查询、API数据聚合接口）实施间接信息萃取，避免触发主动探测防御规则。信息传输层引入动态加密协商机制与噪声注入技术，形成侦查数据与背景流量的不可区分性。

该战术使攻击者建立起具备持续演进能力的隐蔽情报通道，大幅降低侦查阶段的数字足迹暴露概率。通过消除扫描行为的时间聚集性与空间关联性，攻击者能够突破基于行为频度与规模阈值的传统检测体系，显著延长攻击准备阶段的隐蔽存活周期。同时，仿真化的交互模式削弱了防御方对异常协议行为的识别能力，使得攻击者可在防御盲区内完成目标资产测绘与漏洞定位，为后续攻击阶段提供高价值情报支撑。

匿迹战术迫使防御体系从离散事件检测转向跨域行为链分析，传统基于单点特征匹配的规则引擎面临侦查行为碎片化带来的检测失效风险。防御方需构建网络空间动态基线图谱，通过元数据关联分析识别低频异常交互模式，结合情报驱动的上下文行为建模技术实现侦查意图预判。同时，应建立攻击面暴露度量化评估机制，对高价值资产实施拟态化防御改造，通过动态异构环境增加攻击者实施隐蔽侦查的认知负荷与资源消耗成本。

ID: TA0043

Created: 02 October 2020

Last Modified: 18 October 2020

Techniques

Techniques: 10

ID		Name	Description
T1595		主动扫描	主动扫描作为网络攻击链的初始阶段，通过直接探测目标系统获取关键情报。传统检测手段依赖识别异常协议交互、高频次连接请求等特征，采用流量阈值告警与规则匹配进行防御。但随着攻击者匿迹技术的演进，单纯基于流量特征的检测方法面临严峻挑战。
	.001	协议模拟隐蔽扫描	协议模拟隐蔽扫描（Protocol Emulation Stealth Scanning）是一种通过精确模仿合法协议通信特征实施网络侦察的技术。该技术深入解析目标网络常用协议（如 HTTP、DNS）的交互模式与数据包结构，构建具备完整协议栈特征的扫描请求，使探测流量在协议解析层面与正常业务流量完全一致。攻击者通过动态调整 TCP 窗口尺寸、TTL 值等网络层参数，并规范应用层字段（如 User-Agent、Referer），实现扫描行为在协议特征维度的深度隐匿。
	.002	时间随机化分散扫描	时间随机化分散扫描（Temporal Randomized Distributed Scanning）是通过非线性时序调度实现扫描行为隐匿的先进技术。该技术采用复合随机算法（如泊松过程与韦伯分布结合）生成探测请求的时间间隔，并引入动态任务分片机制，将传统高强度扫描分解为多个低强度子任务，分布在扩展时间窗口内异步执行。攻击者通过建立时间熵模型，使扫描行为的时间分布特征与目标网络的业务波动周期高度吻合，有效规避基于时序规律分析的检测系统。
	.003	云服务代理扫描	云服务代理扫描（Cloud Service Proxy Scanning）是利用云计算基础设施实现扫描源隐匿与流量合法化的新型技术。攻击者通过 API 动态创建云函数实例或容器服务，利用云平台提供的弹性 IP 池和内置网络路由机制，将扫描流量伪装为正常云服务通信。该技术深度整合云服务商提供的 CDN 加速、负载均衡等特性，使探测请求在传输路径和网络特征层面与合法云业务流量完全一致，形成天然的隐蔽通道。
T1598		信息钓鱼	信息钓鱼是攻击者通过伪造可信实体诱导目标主动提供敏感信息的社交工程攻击技术，其传统形式包括伪造登录页面、钓鱼邮件等，依赖内容仿冒与身份伪装实现攻击目的。防御方通常采用邮件头分析、URL信誉检测、附件沙箱检测等手段进行防护，重点识别发件人伪造、恶意链接等显性特征。
	.001	端到端加密钓鱼通道	端到端加密钓鱼通道（End-to-End Encrypted Phishing Channel）是通过构建全链路加密通信环境实施信息窃取的进阶钓鱼技术。攻击者利用HTTPS协议、PGP加密邮件或即时通讯工具的内置加密功能，将钓鱼页面部署在合法加密通道中，使防御方无法通过流量内容检测识别恶意意图。该技术通过加密传输层与应用层数据的双重保护，有效规避传统基于明文内容分析的检测机制，同时利用用户对加密通信的信任降低警惕性。
	.002	动态域名生成算法钓鱼	动态域名生成算法钓鱼（Dynamic Domain Generation Algorithm Phishing）是一种基于算法驱动域名动态变更的钓鱼攻击技术。攻击者通过预定义域名生成算法（DGA），按时间、事件等参数批量生成钓鱼域名，并配合自动化证书签发系统快速部署HTTPS钓鱼站点。该技术通过高频次域名切换规避基于静态URL黑名单的防御机制，同时利用Let's Encrypt等免费证书服务增强钓鱼页面的可信度，形成"高可信、高动态"的新型钓鱼攻击范式。
	.003	上下文感知钓鱼内容生成	上下文感知钓鱼内容生成（Context-Aware Phishing Content Generation）是融合人工智能与开源情报（OSINT）的定向钓鱼技术。攻击者通过爬取目标人员在社交媒体、企业网站等公开渠道的数字足迹，利用自然语言处理（NLP）模型生成高度个性化的钓鱼内容。该技术突破传统钓鱼模板的局限性，通过语义适配、风格模仿和上下文关联构建精准社会工程陷阱，显著提升钓鱼攻击的欺骗性与隐蔽性。
	.004	隐蔽式数据回传机制	隐蔽式数据回传机制（Covert Data Exfiltration Mechanism）是通过合法云服务中转窃取信息的钓鱼数据收集技术。攻击者将钓鱼页面收集的凭证等信息加密后，通过Google Drive API、Slack Webhook或微信企业版机器人等合规通道回传，而非直接连接恶意服务器。该技术利用企业网络对主流云服务的白名单策略，将数据窃取行为伪装成正常的云服务交互，有效规避网络层异常外连检测。
T1594		搜索受害者拥有的网站	搜索受害者拥有的网站是指攻击者通过访问和分析目标组织公开的Web资产获取情报的侦察手段，通常涉及网站结构分析、敏感信息抓取和隐藏内容探测。攻击者可能利用自动化工具扫描sitemap.xml、robots.txt等文件发现隐蔽目录，或通过解析网页元数据提取人员架构、业务关系等情报。传统防御措施主要依赖监控异常访问模式（如高频次请求、非常规时段访问）和分析HTTP头字段（如异常User-Agent）来识别潜在恶意爬取行为。
	.001	合法爬虫行为模拟	合法爬虫行为模拟（Legitimate Crawler Behavior Emulation）是通过精确复制主流搜索引擎爬虫的网络行为特征，实现对目标网站情报的隐蔽收集技术。攻击者通过分析Googlebot、Bingbot等合法爬虫的请求频率、访问路径、User-Agent标识等行为特征，构建具备相同数字指纹的自动化工具，在遵守目标网站robots.txt协议约束的前提下，对公开页面和授权访问内容实施定向信息采集。该技术使得恶意爬取行为在流量特征层面与商业搜索引擎行为完全一致，规避基于爬虫特征识别的传统防御机制。
	.002	分布式低频数据采集	分布式低频数据采集（Distributed Low-Frequency Data Harvesting）是一种通过全球分布式节点实施长周期、低强度信息收集的隐蔽侦察技术。攻击者利用云服务提供商、代理网络或已控物联网设备构建分布式爬虫节点池，将针对目标网站的数据采集任务拆解为多个低频率、小规模的合法访问请求，通过时空维度分散化策略规避集中式爬取行为的检测。每个节点仅执行有限的页面抓取任务（如每日访问5-10个页面），并通过智能调度系统协调全局任务进度，在维持信息收集连续性的同时将单节点行为特征降至检测阈值以下。
	.003	动态身份伪装	动态身份伪装（Dynamic Identity Camouflage）是通过持续切换虚拟身份并分阶段收集信息片段，最终合成完整情报的高级隐匿技术。攻击者预先创建数百个虚假用户账号，每个账号绑定独立的网络身份（包括IP地址、设备指纹、社交媒体档案等），通过轮换机制使用不同账号分时段访问目标网站。每次会话仅收集有限信息片段（如单个部门的联系方式），最终通过数据聚合引擎将碎片化信息重组为完整情报图谱，避免因集中访问敏感数据触发异常告警。
T1596		搜索开放技术数据库	搜索开放技术数据库是指攻击者利用互联网公开的注册信息、证书透明日志、网络扫描数据集等资源，收集目标组织数字资产信息的技术手段。此类活动通常通过WHOIS查询、SSL证书数据库检索、云资产元数据收集等方式实施，为后续攻击提供情报支撑。防御方可通过监控自身资产在公开平台的暴露情况、部署数字足迹监控系统，以及参与证书透明日志监控计划等手段降低风险，但由于攻击行为常发生在目标防御边界之外，传统检测手段效果有限。
	.001	合法账户伪装查询	合法账户伪装查询（Legitimate Account Camouflage Query）是指攻击者通过注册或盗用合规身份，利用公开技术数据库提供的合法查询接口实施定向情报收集。该技术通过模仿正常用户行为模式，在商业数据库（如Shodan、Censys）或机构注册系统（如WHOIS、CA/Browser论坛）中执行敏感数据检索，使恶意查询活动完全融入平台业务逻辑。攻击者通过伪造研究机构、安全公司等可信身份获取高级API权限，利用平台预设的查询配额与速率限制，构建出符合业务规范的持续性情报收集通道。
	.002	分布式多源数据采集	分布式多源数据采集（Distributed Multi-Source Data Harvesting）是通过构建全球化查询节点网络，将集中式数据检索任务分散至多个地理分布的代理节点执行的技术。攻击者利用云服务、代理池或已控设备群，在全球不同司法管辖区发起数据请求，使得单次查询行为在目标数据库日志中呈现多源离散特征。每个节点仅执行局部查询任务，通过动态IP轮换和检索内容差异化配置，规避基于查询源集中度的异常检测机制。
	.003	时间离散化数据采集	时间离散化数据采集（Temporal Discretized Data Collection）是通过延长情报收集周期实现隐蔽侦察的技术。攻击者将传统集中式数据检索任务分解为跨越多日甚至数月的低频次查询，利用目标数据库的增量更新机制，通过持续监测特定数据字段的细微变化获取敏感信息。该技术通过控制单次查询的信息熵值，使检索行为融入平台日常访问流量，规避基于时间窗口的异常检测。
	.004	第三方API寄生检索	第三方API寄生检索（Third-party API Parasitic Retrieval）是指攻击者通过劫持合法应用程序或服务的API调用链路，将恶意查询指令嵌入正常业务请求的技术。该技术利用社交媒体平台、数据分析工具或物联网设备厂商提供的开放API接口，将针对目标系统的敏感信息检索需求伪装成合法应用的常规数据交互。例如，通过篡改移动应用的数据上报模块，在设备性能统计信息中附加对目标域名的证书查询请求。
T1593		搜索开放网站/域	搜索开放网站/域指攻击者通过公开网络资源获取目标组织情报的侦察手段，涉及社交媒体、企业信息平台、技术论坛等数据源的系统性采集。传统防御主要依赖网站端的异常访问检测与关键词过滤，但受限于公开数据的合法访问特性及海量正常用户流量，难以有效识别具有明确攻击导向的信息收集行为。防御重点往往转向攻击链后续阶段，如钓鱼攻击或初始访问行为监测。
	.001	分布式账户协同搜索	分布式账户协同搜索（Distributed Account Collaborative Search）是一种利用多地域、多平台的网络身份进行协同式信息采集的隐蔽侦察技术。攻击者通过预先创建的数百个虚假社交媒体、企业信息平台及技术论坛账户，将目标信息搜索任务拆解为离散的原子化查询请求，利用分布式账户体系规避单一账号行为异常检测。每个账户仅执行有限次数的合规搜索操作，通过自然语言处理技术自动生成符合用户画像的查询语句，使搜索行为融入平台正常用户活动周期，实现目标情报的隐蔽聚合。
	.002	合法爬虫行为模拟	合法爬虫行为模拟（Legitimate Web Crawler Emulation）是通过完全复现主流搜索引擎爬虫的网络行为特征，对公开网站实施隐蔽信息采集的技术手段。该技术深度解析Googlebot、Bingbot等合规爬虫的请求头标识、访问频率、页面遍历逻辑及缓存机制，构建具备协议层完全兼容性的仿冒爬虫工具。攻击者利用该工具对目标网站实施定向扫描时，其流量在Web服务器日志中呈现为合法搜索引擎的索引行为，从而规避基于爬虫特征识别的安全防护机制。
	.003	长周期时域分散搜索	长周期时域分散搜索（Long-cycle Temporal Dispersion Search）是通过将定向信息收集任务分解为跨月甚至跨年实施的离散化操作，利用时间维度稀释攻击特征的持久性侦察技术。该技术结合目标组织的业务周期特点（如财报发布、人员变动等），在多个关键时间节点实施低强度信息采集，通过长期数据累积构建完整情报视图，规避基于短时行为突发的检测机制。
T1597		搜索闭源	搜索闭源指攻击者通过非公开渠道获取目标组织敏感信息的情报收集行为，涉及暗网市场交易、商业数据库订阅、私有漏洞库查询等活动。与传统开源情报收集不同，闭源搜索具有信息价值密度高、获取渠道隐蔽的特点，常为高级持续性威胁提供关键攻击要素。防御方通常难以直接监测此类行为，需通过监控暗网数据泄露、分析第三方平台异常查询日志等手段进行间接防御。
	.001	暗网交易市场匿名购买	暗网交易市场匿名购买（Darknet Marketplace Anonymous Procurement）是攻击者通过Tor等匿名网络访问暗网交易平台，利用加密货币支付和混币技术购买目标组织敏感信息的高级侦察技术。该技术依托暗网市场的匿名交易体系，采用多层加密通信和区块链资金混淆技术，使交易双方身份、交易内容和资金流向在技术层面完全脱钩。攻击者通过访问专业化暗网情报集市（如Exploit[.]in或RussianMarket），使用Monero等隐私加密货币购买目标企业的VPN凭证、泄露数据库或内部通讯录，构建针对性的攻击知识库。
	.002	合法情报服务身份伪装	合法情报服务身份伪装（Legitimate Intelligence Service Identity Camouflage）指攻击者通过伪造合规身份接入商业情报平台的技术。通过构建虚拟企业资质（如伪造营业执照、行业许可证）、模拟正常用户行为模式（包括查询频率、数据下载量、访问时段等），将恶意情报收集行为隐藏在合法商业数据采购流程中。技术实施需破解目标平台的用户画像模型，确保伪造身份的行为特征与真实企业用户保持统计一致性。
	.003	跨平台情报聚合代理	跨平台情报聚合代理（Cross-Platform Intelligence Aggregation Proxy）是攻击者利用第三方情报中间商服务，实现多源闭源信息整合的分布式侦察技术。该技术通过租用商业化的情报聚合平台，将针对目标的多维度信息查询任务分解为多个合法数据请求，利用平台的数据融合功能自动生成目标画像。攻击者通过创建多个关联账户，使用语义混淆的查询关键词发起分布式请求，最终通过平台的情报关联引擎自动合成高价值情报，避免直接接触敏感数据源。
T1592		收集受害者主机信息	收集受害者主机信息是指攻击者通过多种渠道获取目标系统配置、网络拓扑等数据的情报搜集行为，这些信息为后续攻击阶段的武器构建、漏洞利用提供关键支撑。传统技术手段包括主动扫描、钓鱼攻击、网站渗透等，防御方通常通过监控异常数据请求、分析用户代理字符串、检测恶意Web脚本等方式进行防护。但由于信息收集行为常混杂在正常业务流量中，且可能发生在供应链环节或第三方平台，导致传统检测手段存在高误报率和可见性盲区。
	.001	合法云服务API滥用	合法云服务API滥用（Legitimate Cloud Service API Abuse）是指攻击者通过合法注册的云服务账户，调用云平台提供的监控、日志查询等标准化接口获取目标主机信息。该技术利用云计算服务商（如AWS CloudWatch、Azure Monitor）的开放API接口，将恶意查询请求伪装成正常运维操作，通过权限伪装和请求参数混淆，实现对目标主机配置、网络拓扑等敏感数据的隐蔽收集。攻击者通常通过窃取或仿冒合法开发者凭证接入云平台，利用API速率限制与查询模式的合规性规避安全检测。
	.002	浏览器指纹隐蔽收集	浏览器指纹隐蔽收集（Stealthy Browser Fingerprint Collection）是一种通过Web端脚本隐蔽获取用户主机环境信息的技术。该技术利用HTML5标准API（如Canvas渲染、WebRTC、字体枚举）生成精确的浏览器指纹，通过恶意广告、钓鱼页面或受控网站植入采集脚本，将收集的硬件配置、操作系统版本、时区语言等数据与合法业务参数混合回传。攻击者通常采用动态脚本加载、数据分片传输、加密混淆等技术，使指纹收集行为难以被传统WAF或客户端安全软件检测。
	.003	第三方供应链数据窃取	第三方供应链数据窃取（Third-party Supply Chain Data Exfiltration）是指攻击者通过入侵目标组织的供应商、合作伙伴或服务提供商，间接获取受害者主机信息的技术。该技术聚焦于软件更新服务器、IT运维平台、远程管理工具等供应链节点，利用其与目标主机的信任关系，通过日志窃取、配置同步接口滥用等方式批量获取主机资产数据。攻击者通常采用水坑攻击、漏洞利用等手段渗透第三方系统，在数据收集阶段保持最低权限访问，使异常行为隐藏在供应链的正常业务流量中。
	.004	社交工程伪装工具	社交工程伪装工具（Social Engineering Camouflaged Tools）是指攻击者开发具有合法功能的应用程序，诱导目标用户主动提交主机环境信息的技术。该技术通过仿冒系统诊断工具、硬件检测软件或游戏优化程序，在用户授权执行的伪装下，收集详细的主机配置、网络参数及安全软件信息。攻击者通常采用代码签名证书伪造、功能模块动态加载、数据加密回传等手段，使恶意收集行为具备表面合法性。
T1591		收集受害者组织信息	收集受害者组织信息是攻击者通过公开或半公开渠道系统化获取目标企业运营数据、人员架构及业务关系的侦察行为，通常为后续精准钓鱼、供应链攻击或社会工程提供情报支撑。传统防御主要依赖监控异常数据下载行为、检测敏感信息外传等机制，但由于此类活动多利用合法网络服务且发生在目标网络边界之外，防御方往往缺乏有效监测手段。
	.001	企业信息聚合平台寄生采集	企业信息聚合平台寄生采集（Legitimate Business Data Platform-based Collection）是指攻击者利用商业信息查询平台（如天眼查、企查查、EDGAR数据库）的公开服务接口，通过合法身份注册获取企业工商信息、股权结构、关联企业等敏感数据的技术手段。该技术通过将定向情报收集需求分解为平台允许的标准化查询请求，借助海量用户正常查询流量掩盖特定目标的深度数据挖掘行为，实现组织架构信息的隐蔽获取。攻击者通常结合多账户轮换、查询参数模糊化等手法，规避平台的反爬虫机制与异常行为检测。
	.002	供应链节点伪装探测	供应链节点伪装探测（Supply Chain Node Camouflage Probing）是攻击者通过伪造供应商、合作伙伴或监管机构身份，在与目标组织存在业务往来的第三方机构中开展定向信息收集的技术。该技术利用企业间业务协作过程中必要的信息交换机制，通过钓鱼邮件、虚假合同协商或合规审计请求等载体，诱导第三方机构员工泄露目标组织的运营数据、采购清单或技术文档，从而绕过目标本体的直接防御体系。
	.003	暗网数据市场匿名订阅	暗网数据市场匿名订阅（Darknet Data Marketplace Anonymous Subscription）是通过匿名网络接入暗网数据交易平台，批量获取目标组织泄露的员工凭证、内部通讯录、合同文档等敏感信息的技术。攻击者利用暗网市场的匿名交易机制与加密货币支付体系，通过Tor网络多层加密隧道完成数据采购，避免暴露真实身份与意图。获取的数据通常与其他开源情报交叉验证，构建精准组织画像。
T1590		收集受害者网络信息	收集受害者网络信息是指攻击者通过主动或被动手段获取目标组织网络架构、资产配置等关键情报的过程，这些信息为后续攻击链的展开提供基础支撑。传统技术包括主动扫描、公开数据库查询等，防御方通常通过监控异常API调用、分析数据请求模式等手段进行检测，但由于攻击行为常混杂在正常网络活动中，且可能利用第三方平台实施，导致防御存在高误报率和可见性盲区。
	.001	隐蔽式DNS数据聚合	隐蔽式DNS数据聚合（Covert DNS Data Aggregation）是一种通过合法DNS协议交互实现网络情报隐蔽收集的技术。攻击者通过构造特定DNS查询请求，将目标网络的基础设施信息（如子域名解析记录、邮件服务器配置）分散嵌入常规域名解析流程，利用DNS协议的无状态特性与广泛白名单优势，在获取关键数据的同时规避流量审查。该技术通常结合DNS隧道技术，将请求参数编码至查询字段，通过多级解析服务器中转实现数据回传，使防御方难以区分正常域名解析与恶意情报收集行为。
	.002	社交工程驱动的被动收集	社交工程驱动的被动收集（Social Engineering-Driven Passive Collection）是一种通过诱导目标人员主动泄露网络信息实现隐蔽侦察的技术。攻击者伪造合法身份（如合作伙伴、审计机构），通过钓鱼邮件、虚假工单系统或伪装技术论坛，诱使目标组织员工泄露网络拓扑图、设备配置信息等敏感数据。该技术将传统主动扫描转化为基于社会工程学的被动接收，利用人类信任关系突破技术防御体系，在避免触发网络安全设备告警的同时获取高价值情报。
	.003	云服务API伪装查询	云服务API伪装查询（Cloud Service API Masqueraded Query）是一种通过滥用云平台监控接口实现网络信息隐蔽收集的技术。攻击者利用云服务提供商公开的API接口（如AWS Route53、Azure Network Watcher），通过伪造合法用户身份调用网络拓扑发现、资源清单导出等功能，直接获取目标在云环境中的资产配置信息。该技术将恶意侦察行为伪装成云平台常规管理操作，利用云服务商的基础设施可信度规避安全检测。
T1589		收集受害者身份信息	收集受害者身份信息是指攻击者通过主动或被动手段获取目标个人或组织敏感身份数据的过程，包括但不限于用户凭证、联系方式、安全配置等信息。传统防御手段主要依赖监控异常认证请求、检测大规模数据爬取行为，以及分析网络流量中的敏感字段模式。通过部署Web应用防火墙（WAF）识别暴力破解特征，或使用数据泄露防护（DLP）系统监控敏感信息外传。
	.001	社交工程伪装身份验证交互	社交工程伪装身份验证交互（Social Engineering Camouflaged Authentication Interaction）是一种通过构建仿冒业务场景实施信息收集的隐蔽技术。攻击者通过伪造合法服务登录页面、双因素认证（2FA）验证流程或密码重置接口，诱导目标用户在看似合规的交互过程中主动提交身份信息。该技术结合社会心理学与界面欺骗手段，在用户认知层面构建可信交互环境，利用目标人员的安全意识盲区实现敏感信息窃取，同时规避传统基于流量特征的安全检测。
	.002	凭证泄露数据伪装合法爬虫	凭证泄露数据伪装合法爬虫（Credential Leakage Disguised as Legitimate Crawler）是一种利用合法网络爬虫协议框架实施隐蔽数据采集的技术。攻击者通过构建符合Robots协议规范的网络爬虫，将身份信息收集任务分解为符合目标网站访问策略的离散请求，利用搜索引擎爬虫的流量特征掩盖恶意数据采集行为。该技术特别针对大规模公开数据源（如社交媒体、代码仓库、文档共享平台），通过模拟主流搜索引擎的User-Agent、请求间隔和访问深度参数，使恶意爬虫流量融入正常搜索引擎索引流量中。
	.003	跨平台碎片化信息拼图采集	跨平台碎片化信息拼图采集（Cross-Platform Fragmented Information Mosaic Collection）是一种通过长期低强度数据收集构建目标身份画像的隐蔽技术。攻击者利用目标对象在不同网络平台（如社交网络、论坛、电商平台）遗留的信息碎片，通过构建语义关联模型和时序分析框架，从非敏感数据中推导出高价值身份信息。该技术采用被动监听与主动诱捕相结合的方式，通过API劫持、浏览器指纹追踪等技术持续收集目标数字足迹，利用机器学习模型自动识别数据间的潜在关联。