  2. 戰術、技術與過程-TTPs (Tactics, Techniques, and Procedures) 1）戰術Tactics：攻擊者在攻擊過程中希望達成的戰術目標 網絡安全領域：
軍事上，在一場戰役中，戰術目標可能包括“奪取制空權”、“切斷敵軍補給線”、“占領高地”或“實施斬首行動”等。 2）技術Techniques：攻擊者實現戰術目標的具體方法 網絡安全領域，為了實現 Initial Access (初始訪問) 這個戰術目標，攻擊者可以使用的技術包括：
軍事上，為了實現“切斷敵軍補給線”這個戰術目標，可以使用的技術包括：“空襲炸毀橋梁”、“派遣特種部隊埋設地雷”等。 3）Procedures (過程，程序): 攻擊者實施技術時的特定步驟、工具等 它是技術的具體實現細節，可以看作是攻擊者的“作案手法”或“簽名”。 在實施 Phishing (釣魚郵件) 這個技術時，某個APT團伙（如APT28）的規程可能是：
軍事上， 在執行“空襲炸毀橋梁”這個技術時，某國空軍的特定流程可能是：“派出兩架F-35作為隱形護航，四架F-16攜帶GBU-12激光制導炸彈，在凌晨3點，從西北方向低空突防，由地面特工提供激光引導”。那么根據這些信息，我們就容易判斷出攻擊者屬于哪個組織 可以看到，TTPs層層遞進，將攻擊者的行為模式進行了的抽象化、規范化。對TTPs的分析是AI智能體輔助安全運營的關鍵要素。 1. 命令與控制 - Command & Control /C2/C&C 軍事上，C2 (Command and Control) 是指揮官用來組織、指導和協調部隊執行任務的一套完整的體系。因此，打擊指揮所、干擾通信、獵殺指揮官是現代戰爭的優先事項。 同樣的，對C2流量的隱蔽和檢測是網絡安全領域長期的對抗主題。 2. 信標 - Beacon 軍事上，指用于定位和通信的信號裝置。例如，被擊落的飛行員會啟動個人定位信標 (Personal Locator Beacon)，它會周期性地發出求救信號，以便搜救部隊確定其位置。  網絡安全領域，Beacon指植入在受害主機中的惡意軟件以固定的時間間隔，周期性地向其C2服務器發送信號（“我在這里，等待指令”）的行為。這種規律性的、通常流量很小的通信被稱為“信標”或“心跳包”。 安全防御者可以通過檢測這種有規律的網絡流量來發現潛在的失陷主機。而高級的惡意軟件會采用隨機間隔或將信標流量偽裝成正常流量來躲避檢測。 3. 數據竊取 - Exfiltration 在軍事或情報語境下，Exfiltration（?？s寫為 Exfil）指將人員（如特工、被營救的人質、 飛行員）或敏感物資從敵對或危險區域秘密撤離的行動。這通常是任務的最后也是最危險的階段。玩過軍事游戲的朋友們對這個詞應該不陌生。 在網絡安全領域，Exfiltration指未經授權地將數據從受害者的網絡中秘密傳輸出來的行為。這是許多網絡攻擊（特別是APT攻擊）的最終目標。攻擊者會使用各種隱蔽信道（如DNS隧道、HTTP偽裝）來躲避檢測。 Impact (影響) 戰術被定義為：“攻擊者試圖操縱、中斷或破壞你的系統和數據的可用性或完整性。” 它包含了多種具體的技術（Techniques），例如：
類似的例子還有很多：橫向移動Lateral Movement，有效載荷Payload，欺騙防御（蜜罐）Deception，紅藍對抗等等。大家由此可以看到網絡空間安全術語和軍事理論的密切聯系。 |
|
|
。
