依托Mandiant M-Trends、MITRE ATT&CK等权威框架，结合CNNIC与反网络钓鱼工作组一线实践，围绕APT组织追踪、攻击链分析、数字取证、威胁狩猎、入侵检测与响应、攻击归因六大方向，构建覆盖"监测—分析—研判—归因—处置"全链路的攻击溯源研究体系。
基于Mandiant M-Trends 2026报告（2026年3月23日发布，基于Mandiant与Google威胁情报组GTIG在2025年开展的50万+小时一线事件调查）及全球威胁情报数据，提炼攻击溯源核心指标。
基于Mandiant 2025年50万+小时前线调查数据与Google威胁情报组（GTIG）追踪成果，提炼对溯源研究最具影响的威胁态势变化。
初始访问掮客与勒索团伙形成"分工制"：一方专注获取访问权限，另一方实施高影响操作。2025年约9%的调查案件呈现该模式（2022年仅4%），交接中位时间仅22秒；勒索相关案件中"既有入侵"（prior compromise）作为初始向量的占比从15%升至30%。
勒索运营者的主要目标从窃取数据转向系统性摧毁恢复能力：备份基础设施、身份服务与虚拟化管理平面成为重点打击对象，通过摧毁恢复能力施压赎金支付。勒索软件相关事件的中位潜伏时间已压缩至9天。
攻击者正利用AI实现超个性化钓鱼与语音社工，PROMPTFLUX、PROMPTSTEAL等恶意软件家族甚至在执行中调用大语言模型辅助规避检测。但Mandiant明确指出：2025年绝大多数成功入侵仍源于人为与系统性失误，而非AI直接致破。
边缘设备漏洞数量持续上升，而安全监控手段难以覆盖、失陷后难以修复。Mandiant预计各类攻击者将更多地把攻击生命周期转移到此类设备上执行，以规避传统终端防护——UNC5807、UNC6201等活动集群均以此类无EDR遥测设备为重点目标。
组织内部自行检测到的入侵，潜伏中位数仅9天；依赖外部通知（执法机构、第三方等）的受害者，潜伏中位数高达25天。2025年52%的入侵由组织自行发现（2024年为43%）。自建检测能力是缩短暴露窗口的最可靠路径。
云相关事件在调查中的占比持续增长：IAM误配置、过度授权的服务账号、跨环境横向移动成为反复出现的主题，云端可见性与身份治理成为溯源新难点。攻击者越来越多地滥用本地与云环境的原生功能及合法工具规避检测，传统依赖恶意软件签名的终端防护模型效力正在下降。
| 数据年份 | 2011 | 2014 | 2017 | 2018 | 2020 | 2021 | 2022 | 2023 | 2024 | 2025 |
|---|---|---|---|---|---|---|---|---|---|---|
| 全部事件 | 416 | 205 | 101 | 78 | 24 | 21 | 16 | 10 | 11 | 14 |
| 行业 | 高科技 | 金融 | 商业与专业服务 | 医疗 |
|---|---|---|---|---|
| 占比（2025年调查） | 17%（首次居首） | 14.6% | 13.3% | 11.9% |
| 高科技行业首次超过金融（2023—2024年居首）成为受攻击最多的行业。 | ||||
| 指标 | 2018 | 2024 | 2025 |
|---|---|---|---|
| 漏洞平均利用时间 TTE（天） | 63 | -1 | -7 |
以"假定失陷"为起点，以MITRE ATT&CK框架为骨架，以数据驱动为核心，构建覆盖攻击全生命周期的溯源研究体系。
基于洛克希德·马丁Kill Chain模型与MITRE ATT&CK框架，将攻击生命周期拆解为可观测、可检测、可拦截的离散阶段，建立攻击行为的标准化描述语言。
运用磁盘取证、内存取证、网络取证、日志分析等多维度技术手段，对攻击痕迹进行系统采集、固定、分析与呈现，为攻击归因提供法庭级证据支撑。
以假设驱动、情报驱动、分析驱动三种方法论为指导，主动搜寻绕过传统防御机制的隐蔽威胁，将"被动响应"转化为"主动发现"。
融合TTP行为分析、基础设施关联、恶意代码基因比对、开源情报（OSINT）等多源数据，构建攻击者画像，实现从"知道发生了什么"到"知道是谁干的"的跨越。
溯源不是单一技术，而是一套从事件解构、威胁狩猎到法庭级归因的完整方法学体系。
以"对手—能力—基础设施—受害者"四顶点与"社会—技术"两平面解构单起入侵事件（Caltagirone等，2013），是事件关联与多事件聚类分析的基础框架。
David Bianco（2013）提出：从Hash值、IP、域名，到工具、TTP，越靠上的指标被攻击者更换的代价越高。指导防守方优先猎捕高"痛苦度"行为，而非低价值IOC。
以MITRE ATT&CK描述对手战术技术，以D3FEND（知识图谱驱动的防御技术本体）映射对抗措施，实现"攻击行为—检测手段—缓解策略"的语义级对齐。
假设驱动（基于威胁模型提出可证伪假设）、情报驱动（基于IOC/TTP线索回溯）、分析驱动（基于机器学习与统计异常）三类方法论互补，配合F3EAD循环（发现—固定—监视—分析—归因—压制）落地。
遵循RFC 3227（证据收集顺序：易失性优先）与NIST SP 800-86（事件响应中取证技术整合），确保电子证据的完整性校验（Hash固定）、链条登记与法庭可采信性。
综合代码基因、基础设施重叠、TTP行为指纹与OSINT，按置信度分级表达归因结论，避免过度归因或归因政治化——这是溯源研究的专业伦理底线。业内通行做法是公开说明置信依据与不确定性。
每个方向均可独立拓展为深度专题，形成"总览—专题—子课题"的三级研究架构，点击卡片进入专题详情。
基于Mandiant UNC编号体系与MITRE ATT&CK框架，对APT组织进行系统化追踪、TTP行为建模、基础设施关联与攻击者画像构建。重点覆盖PRC关联、朝鲜、俄罗斯等国家级威胁行为体。
以洛克希德·马丁Kill Chain七阶段模型为基线，结合MITRE ATT&CK技术矩阵，对网络攻击生命周期进行精细化建模与阶段化拦截策略研究。
覆盖磁盘取证、内存取证、网络取证、移动设备取证、云环境取证等全栈取证技术体系，研究取证工具链、证据保全规范与法庭可采信标准。
基于威胁狩猎成熟方法论，构建假设驱动、情报驱动、分析驱动的三层威胁狩猎体系，研究自动化狩猎、回溯狩猎（Retro Hunting）与TTP行为图谱。
研究基于签名、异常行为、机器学习的多模态入侵检测技术，以及SOAR自动化响应、事件分级处置、应急响应预案等闭环响应机制。
融合恶意代码基因分析、基础设施关联、TTP行为指纹、开源情报（OSINT）与地缘政治分析，构建多维度攻击归因模型与置信度评估体系。
基于洛克希德·马丁Kill Chain模型，结合Mandiant 2025年前线调查数据，对攻击生命周期进行系统化建模与分析。
识别目标对象，收集邮箱、公开信息、社交媒体等情报，制定攻击计划。
将漏洞利用代码与恶意软件组合，创建可投递的攻击载荷。
通过钓鱼邮件、恶意广告、水坑攻击等方式将武器投递至目标。
触发漏洞利用代码，在目标系统上执行恶意载荷，获取初始访问权限。
安装后门、持久化机制，确保长期访问权限，规避检测。
建立C2通道，接收指令、回传数据，维持对失陷环境的远程控制。
执行最终攻击目标：数据窃取、勒索加密、系统破坏或长期潜伏。
从宏观总览到微观子课题，构建层次清晰、可无限延伸的攻击溯源知识树。
基于Mandiant、GTIG、CISA等权威机构公开调查与联合通告，梳理具有代表性的攻击溯源案例。
别名：OPERATOR PANDA（CrowdStrike）/ RedMike（Recorded Future）；其他厂商别名关联存在分歧，详见下文说明
2025年8月，美国CISA、NSA、FBI与五眼联盟多国机构联合发布通告（AA25-239a），披露PRC关联攻击者针对全球电信运营商路由器的长期渗透活动。该组织利用Ivanti、Palo Alto Networks、Cisco等平台漏洞获取边缘设备初始访问，随后针对TACACS+等认证协议横向移动，通过SNMP枚举与SSH深入网络设备，并被动抓取特定ISP客户网络的流量（PCAP），收集明文协议中的敏感凭证；还通过修改路由器配置维持持久访问，并借助高流量节点（代理、NAT池）隐蔽C2外联。M-Trends 2026进一步披露，UNC5807利用设备原生的数据包捕获功能收集明文网络协议凭证——体现了国家级APT组织在边缘设备上的极端持久化能力。
别名说明：部分安全厂商曾将Salt Typhoon与GhostEmperor（卡巴斯基）、FamousSparrow（ESET）、Earth Estrie（趋势科技）等别名关联；但Google威胁情报组（GTIG）公开表示，UNC5807与对应上述别名的UNC2286在作战手法、恶意工具集与动机上存在差异，目前评估为不同的威胁簇，且UNC2286曾被观察到从事以牟利为目的的活动（包括勒索部署）。本专题采用GTIG口径，不再将两者直接等同。
披露时间：2026年2月17日（Dell安全公告DSA-2026-079 / Mandiant与GTIG联合报告）；利用起始时间：至少2024年年中
Mandiant事件响应人员在受害网络内调查被入侵的Dell RecoverPoint for VMs设备时，发现其正在与BRICKSTORM、GRIMBOLT后门相关的攻击者控制C2服务器通信，进而发现一个硬编码凭证漏洞（CWE-798，CVSS评分10.0）：设备Apache Tomcat Manager配置（/home/kos/tomcat9/tomcat-users.xml）中内置了所有设备相同的admin凭据。攻击者利用该凭据认证后，通过/manager/text/deploy接口上传包含SLAYSTYLE Web Shell的恶意WAR文件，以root权限执行命令，并部署BRICKSTORM（ELF后门）及其后续版本GRIMBOLT（采用C# Native AOT编译，专门规避2024年流传的BRICKSTORM检测规则）。持久化方面，攻击者改写合法脚本convert_hosts.sh使后门随开机自启；还通过iptables规则实现"单包授权"敲门（监测443端口特定HEX签名，命中后300秒内将流量重定向至10443端口）以及创建临时虚拟网卡（"Ghost NIC"）实施横向移动，用后即刻删除以规避网络取证。M-Trends 2026显示，UNC6201各战役平均潜伏时间超过390天；CISA已于2026年2月18日将CVE-2026-22769纳入KEV目录，要求联邦机构在3天内完成修复。
归因说明：UNC6201被评估为疑似PRC关联威胁簇，其工具与TTP（BRICKSTORM谱系、convert_hosts.sh持久化模式等）与UNC5221存在显著重叠，后者即微软命名的Silk Typhoon（曾利用Ivanti Connect Secure零日漏洞CVE-2023-46805、CVE-2024-21887实施入侵）；但GTIG目前不将两个簇合并为同一组织，重叠可能源于共享工具、人员流动或同一任务体系下的不同小组。
朝鲜IT工作者使用虚假或盗用身份在目标企业长期任职，相关案件的潜伏时间中位数达122天（约4个月），部分案件未被发现有超过一年。Mandiant调查涉及商业服务、金融、政府、科技、医疗等多个行业。部分案例中被发现利用合法访问权限窃取数据、植入恶意代码，甚至接受贿赂向外部威胁行为体提供企业凭证，将"外部攻击"转化为"内部威胁"，对传统背景调查、访问管理与日志留存体系构成系统性挑战。
性质：此前漏洞补丁的绕过（对应旧CVE-2025-49704 / CVE-2025-49706的修复绕过）
2025年7月，攻击者对微软本地部署版SharePoint Server发起零日攻击：先利用CVE-2025-53771（伪造Referer请求头的认证绕过），再利用CVE-2025-53770（不安全反序列化，未经身份验证的远程代码执行，CVSS 9.8），通过/ToolPane.aspx端点上传spinstall0.aspx Web Shell，并窃取ASP.NET machineKey等关键机密。微软发布带外（out-of-band）安全更新修复，美国CISA等执法机构发布联合通报。若未执行机器密钥轮换，攻击者即使在补丁发布后仍可维持访问——这正是溯源取证中"持久化痕迹"排查的典型案例。
基于Mandiant、微软、CrowdStrike等厂商公开命名体系的映射对照。注意：不同厂商命名存在差异与重叠，归属评估以各机构公开报告为准。
| 常用名（微软体系） | 其他命名 | 归属评估 | 主要目标与手法 |
|---|---|---|---|
| Salt Typhoon | UNC5807（Mandiant）/ OPERATOR PANDA（CrowdStrike）/ RedMike（Recorded Future） | 疑似MSS关联 | 全球电信骨干网SIGINT采集；边缘设备渗透、被动抓包、路由器持久化 |
| Volt Typhoon | BRONZE SILHOUETTE（Secureworks） | PRC关联 | 美国关键基础设施预置潜伏；滥用原生功能（LotL）规避检测 |
| Silk Typhoon | UNC5221（Mandiant）/ Warp Panda（CrowdStrike）等关联命名 | PRC关联 | 利用边界设备零日（Ivanti等）入侵；BRICKSTORM谱系后门 |
| Midnight Blizzard | APT29 / Cozy Bear（NSA等命名） | 俄罗斯SVR | 间谍活动；供应链攻击（SolarWinds）、云身份窃取、隐身C2 |
| Forest Blizzard | APT28 / Fancy Bear | 俄罗斯GRU | 入侵擦除与数据窃取；钓鱼、漏洞利用、物联网设备滥用 |
| Diamond Sleet | Lazarus Group / Diamond Sleet（朝鲜体系分支） | 朝鲜 | 全球金融掠夺、供应链投毒（如3CX事件）、虚假招聘社工 |
| Scattered Spider | UNC3944（Mandiant）/ Octo Tempest | 英语母语犯罪集团 | 深度社工（Help Desk假冒）、SIM交换、MFA疲劳轰炸、勒索与数据窃取 |
覆盖取证采集、内存与磁盘分析、网络取证、狩猎检测、情报共享的开放工具生态（均为业界广泛使用的真实开源/公开工具）。
开源内存取证框架，支持从内存镜像中提取进程、网络连接、注入代码、凭证等攻击痕迹，是Rootkit与无文件攻击溯源的核心工具。
内存取证开源磁盘取证平台：文件系统解析、已删除文件恢复、时间线分析、关键字与哈希检索，广泛用于执法与事件响应取证。
磁盘取证网络协议分析器，支持PCAP深度解析与异常流量检测，是网络取证、C2流量识别与数据外泄分析的基础工具。
网络取证开源终端取证与狩猎平台，支持大规模主机信息采集、实时监控与远程响应，适合企业级威胁狩猎与快速取证。
端点取证/狩猎超级时间线分析引擎：聚合磁盘、注册表、日志等多源时间戳 artifact，重建攻击事件时间线，是溯源分析的关键支撑。
时间线分析YARA用于恶意代码家族识别与样本狩猎；Sigma提供通用化检测规则格式，可将检测逻辑跨SIEM迁移，是检测工程与回溯狩猎的标准组合。
检测规则开源威胁情报平台：IOC结构化存储、威胁情报共享、攻击事件关联与ATT&CK映射，支撑组织间协同溯源。
情报共享Windows取证采集利器：按目标（Target）与模块（Module）快速采集并解析关键取证 artifact，大幅缩短应急响应中的证据固定时间。
取证采集Windows取证解析工具集：注册表（RECmd）、预取文件（PECmd）、日志（LECmd）等解析器，是Windows主机溯源的事实标准工具链。
Windows取证本专题全部数据与案例均可溯源至以下公开发布的权威文献，链接均经核实可访问。
数据来源与严谨性声明：本专题所有统计数据均直接转引自上述公开发布的权威文献（以Mandiant M-Trends 2026为主）；APT组织归属与别名映射以Mandiant/GTIG、微软、CrowdStrike、CISA/NSA/FBI联合通报等机构的公开评估为准，不同机构命名体系存在差异处已作明确标注。威胁行为体归属评估属于各机构基于公开证据的分析判断，本专题仅作学术转述，不代表任何政治立场。如发现数据与原始文献不符，欢迎通过页面底部联系方式反馈勘误。
从基础能力构建到智能化归因，分阶段推进网络攻击溯源研究体系建设。
完成Kill Chain、MITRE ATT&CK框架的本地化适配，建立APT组织追踪基础数据库。发布M-Trends 2026中文解读与攻击溯源态势分析基础报告。
每个研究方向拓展为独立专题页面，输出系列深度技术文章、案例分析、工具集和标准草案。建立威胁狩猎Playbook库与数字取证工具链。
引入AI技术实现自动化攻击链重构与智能归因分析，构建跨方向关联分析能力。开发自动化威胁狩猎平台与攻击者画像生成系统。
推动溯源研究成果纳入行业标准，建立跨机构威胁情报共享与协同溯源机制，输出中国网络攻击溯源研究的最佳实践。