①偵察跟蹤階段

主要是發現確認目標，收集目標網絡、服務狀態、相關人員電子郵件、社交信任關系，確定入侵可能的渠道。

②武器構建階段

主要是創建用于攻擊的武器，比如郵件中的惡意代碼附件、假冒網站或網站掛馬、遠程控制通信服務器等。

③突防利用與安裝植入階段

主要是利用系統或網絡漏洞、管理機制漏洞、人性弱點等將惡意代碼投遞到內部目標，獲得對系統的控制權。

④通信控制與達成目標階段

主要是與外部黑客遠程控制服務器進行連接，周期性的確認其存活狀態，接受指數據竊取、信息收集、破壞等最終任務。

黑客的攻擊成功主要還是基于我們目前靜態的、被動式防御體系的薄弱點，傳統的安全防護體系已經逐漸不能適應外部攻擊防護的需要。如何構建新一代安全防護體系成了當前的緊急工程。

二、構建數據驅動的自適應安全防護體系

預測階段

該階段的目標是獲得一種攻擊“預測能力”，可從外部威脅情報中學習，以主動鎖定對現有系統和信息具有威脅的新型攻擊，并對漏洞劃定優先級和定位。該情報將反饋到防護階段和檢測功能，從而構成整個威脅處理流程的閉環。這里面有兩個關鍵要素：一是威脅情報本身；二是對威脅情報的利用。

所謂威脅情報，是指一組基于證據的描述威脅的關聯信息，包括威脅相關的環境信息、手法機制、指標、影響以及行動建議等。可進一步分為基礎數據、技術情報、戰術情報、戰略情報4 個層次。

基礎數據, 例如PE 可執行程序樣本、netflow 網絡流數據、終端日志、DNS 與whois 記錄等；

技術情報, 例如惡意遠程控制服務器地址、惡意網站、電話、釣魚郵件地址、惡意代碼HASH 值、修改的特定注冊表項、系統漏洞、異常賬號等；

戰術情報, 包括已發現的外部攻擊者和目標信息、攻擊手段和過程、可能造成的攻擊影響、應急響應建議等；

戰略情報, 主要指社會、經濟和文化動機、歷史攻擊軌跡和目標趨勢、攻擊重點、攻擊組織的技術能力評估等。

利用這些情報成為后續防護、檢查和響應的基礎，我們可以與現有防護系統充分結合，自下而上在網絡、系統、終端、應用、業務各個層面進行外部攻擊的有效預防。

相關資料顯示，65%的企業和政府機構計劃使用外部威脅情報服務增強安全檢測和防護能力。威脅情報的引入，是從被動式防護專向主動式預防的重要基石。

安全防護階段

該階段的目標是通過一系列安全策略集、產品和服務可以用于防御攻擊。

這個方面的關鍵目標是通過減少被攻擊面來提升攻擊門檻，并在受影響前攔截攻擊動作，主要分為加固與隔離、漏洞與補丁管理、轉移攻擊等三個方面。

加固與隔離方面，大部分企業在系統、網絡及終端方面進行了大量的投入和系統建設，包括使用防火墻、VLAN 等對不同網絡安全區域進行隔離和訪問策略控制，終端的802.1x 準入控制與隔離，各類系統、網絡設備的安全補丁以及安全配置加固。

漏洞與補丁管理方面，盡管大多數企業都引入了漏洞掃描工具，并建立了漏洞發現、分析、補丁修復的完整工作機制，但漏洞與補丁管理最容易在兩個方面產生疏漏，一是漏洞情報獲取的滯后，二是設備資產梳理不清。非常容易導致信息安全的木桶效應，即一塊短板導致整個防線崩潰。

轉移攻擊方面，簡單來說，該功能可是企業在黑客攻防中獲得時間上的非對稱優勢，通過蜜罐、系統鏡像與隱藏等多種技術使攻擊者難以定位真正的系統核心以及可利用漏洞，以及隱藏、混淆系統接口和系統信息。

此項技術對于研究攻擊者手法、檢測防護系統不足甚至刻畫黑客的攻擊畫像等都十分有利，但考慮到該類技術的應用場景復雜性，引入時應考慮更加全面充分。

安全檢測階段

該階段的主要目標是及時發現各類外部直接的或潛伏的攻擊。在這個階段是傳統安全防護體系中，各個企業投入大且最為依賴的部分，因此也是構建數據驅動的自適應安全防護架構最需要做出改變的階段。

一是從傳統的只重視邊界流量（如互聯網與第三方入口的IPS）的安全檢測，發展為全流量檢測或至少具備任一網絡關鍵路徑流量的檢測能力，因為攻擊者不可避免地會繞過傳統的攔截和預防機制，一旦進入內部傳統的檢測防護機制就難以發現。

二是從靜態的基于特征碼的檢測，如目前的IPS、防病毒、WAF 等，發展到基于異常的動態檢測，正如前面提到的，很多APT 攻擊者利用的是0day 漏洞或者利用經過多態和變形的惡意代碼進行攻擊，無法被傳統基于特征碼的檢測手段發現，但通過異常行為分析是有可能發現的。

目前業界主要通過進入沙箱檢測技術，將網絡、終端、郵件等系統中獲取到的可執行文件等在沙箱環境運行，并觀察相關進程創建或調用、文件或資源訪問行為、注冊表修改等是否存在異常。

安全響應階段

該階段的目標是一旦外部攻擊被識別，將迅速阻斷攻擊、隔離被感染系統和賬戶，防止進一步破壞系統或擴散。

常用的隔離能力包括，終端隔離、網絡層IP 封禁與隔離、系統進程、賬戶凍結、應用層阻斷和主動拒絕響應等。這些響應措施在新一代數據驅動的自適應安全防護體系中最重要的目標是能夠跟基于大數據的安全檢測系統進行有效對接，自動根據檢測結果進行觸發或者提示人工判斷后自動觸發。

因此，在建立下一代安全防護體系過程中，必須把響應階段與安全檢測階段一體化考慮。同時，在做好自身的響應準備時還要充分考慮外部服務商、合作方的共同應急響應或風險傳導控制。