应对现代威胁攻击者的自适应策略手册

网络安全领域经历了威胁向量的重大转变。虽然恶意软件和勒索软件仍然是相关威胁，但一类更复杂的攻击已经占据主导地位。

如今超过80%的违规事件涉及泄露的凭证或基于身份的攻击，凸显了这一新兴趋势。以认证为中心的攻击正在盛行，包括凭证填充、会话劫持、身份滥用以及使用合法IT工具进行横向移动。被盗身份和特权访问凭证现已占所有数据泄露的61%。与传统威胁不同，这些攻击利用信任， leveraging 本应保护访问和实现生产力的机制。

威胁攻击者偏爱身份滥用策略的频率源于几个因素。攻击者改进了他们对钓鱼工具包和自动化的使用，使他们能够以越来越容易和复杂的方式获取凭证和会话cookie，甚至可能绕过强大的多因素认证协议。

除了直接的身份滥用之外，威胁攻击者越来越多地通过第三方关系和软件供应链获得初始访问权限。受损的CI/CD管道、代码库中暴露的令牌以及过度授权的集成为企业环境提供了一条隐蔽且经常被忽视的路径。当这些间接访问点包裹在受信任的供应商关系或API驱动的自动化中时，很难被检测到。

与此同时，API，特别是移动应用程序和登录工作流中使用的API，由于缺乏CAPTCHA或限制等防御机制而被利用，最终使它们成为自动化攻击的理想载体。这些认证端点之所以具有吸引力，不仅因为它们的普遍性，还因为它们在大多数组织的检测策略中相对有限的可见性。

隐藏在视线之中

基于认证的攻击已经发展出悄无声息展开的能力。就在我们眼皮底下，攻击者正在使用有效（即使是被盗的）凭证和合法工具。与其部署恶意软件或通过异常二进制文件触发安全警报，对手现在依赖标准实用程序，如PowerShell、远程访问工具或内部SSO门户，在网络内横向移动。

通过建立持久性并长时间逃避检测，防御者越来越难以区分恶意行为和授权用户活动。

信任作为武器

利用身份系统的活动，如入侵夏威夷航空公司和WestJet的Scattered Spider组织，表明威胁攻击者通过帮助台冒充和MFA疲劳策略绕过MFA，揭示了当配置错误时，联合访问机制如何被用来对抗组织。

攻击者TTP的混合，从APT风格的技术到使用商品化的远程访问软件，使得归因更加困难，特别是当攻击者频繁使用与IT管理员和支持人员相同的基础设施和工具时。

传统的防御措施，设计用于监控或扫描已知的恶意软件签名，装备不足且从根本上未准备好应对看起来和行为像合法用户的威胁。即使是具有高级检测能力的端点解决方案，如果缺少行为上下文，也可能忽略细微的入侵迹象。一次成功的攻击可能根本不涉及恶意软件，而是来自异常地理位置的登录尝试增加或权限变更的激增。这些信号，虽然单独看很小，但在更广泛的行为模式中关联时至关重要。

安全不能再孤立运作

安全运营必须发展，使自己更加智能驱动和行为感知。当有像MITRE ATT&CK这样广泛可访问的框架来提供结构化的指南以理解和预测攻击者将如何操作时，不花时间准备几乎显得疏忽。展望未来，安全团队应使用这些模型创建关于可能对手行为的假设，并针对其环境的遥测数据测试它们。通过保持主动，组织的安全态势可以将威胁情报从静态参考转变为可通知检测工程、警报调整和事件响应的运营资产。

作为一个很好的例子，防御者可以围绕反映真实对手行为的模式构建检测：对API的异常访问、重复登录失败后突然成功，或与不常见设备指纹相关的认证事件。这些指标通常存在于传统安全工具集之外的日志中，如API网关日志、身份提供商分析或OAuth令牌发放事件。与IT、DevOps和IAM团队合作变得至关重要，以便有效访问和解释这些数据。

映射盲点

攻击者也越来越多地利用刷新令牌盗窃和令牌重放技术，特别是在移动应用程序和以API为中心的认证工作流中。因为这些令牌通常绕过传统的基于凭证的认证检查，它们可以被静默重用以冒充合法用户并保持持久访问，而不会触发警报。

制定更具弹性和风险对齐的防御策略依赖于安全领导者，他们专注于将检测能力映射到像MITRE ATT&CK这样的框架，并揭示遥测和分析中的现有差距。优先处理高影响用例，如凭证填充、令牌盗窃和远程访问工具的滥用，使组织能够定制应对最具破坏性的基于身份的攻击的策略手册。

通过练习定期模拟真实世界的对手行为也有助于团队加强准备和完善检测能力。同样重要的是促进与开发和基础设施团队的跨职能协作，以识别认证工作流中的漏洞并消除常见的错误配置。最后，扩大对身份系统的可见性，包括移动API、登录行为和会话令牌活动，确保细微的入侵指标，如异常用户代理或可疑的令牌刷新，不会被忽视。

基于对手信息的优势

遵循这些策略的组织无疑将在几个关键领域看到改进。他们将能够在攻击链的早期检测基于凭证的攻击和横向移动，限制数据渗出或持久访问的机会。他们的响应策略将更加与现实世界的风险对齐，减少警报疲劳并提高平均解决时间。也许最重要的是，他们的团队将从基于对手行为的理解出发，而不是恐惧或猜测。

这种演变不是可选的。攻击者已经改变了策略，防御者必须相应回应。通过超越传统检测并拥抱基于对手信息的策略，安全团队可以重新获得主动权。保护身份层现在对保护业务至关重要，而那些基于这一事实行动的组织将是最有能力在面对日益复杂的威胁时抵抗入侵和中断的。