攻击溯源

溯源的技术维度

技术溯源从以下维度聚合证据：

• 网络层：攻击来源 IP（往往经过多层代理/Tor/VPN/跳板机，直接价值有限）、C2 服务器域名注册信息、IP 地理位置和 ASN。
• 文件层：恶意样本的编译时间戳、调试符号路径（往往含有开发者使用的语言和路径习惯）、字符串中的语言编码（某 APT 样本中发现的俄语、简体中文注释）、代码复用（与已知家族的相似度）。
• 行为层（TTP）：攻击者使用的战术、技术和程序，用 MITRE ATT&CK 框架描述，比 IOC 更难伪装和替换。某 APT 组织的横向移动手法、权限维持方式在多次行动中高度一致，构成可识别的「指纹」。
• 时间层：恶意活动的活跃时间窗口（转换为 UTC 后对应的工作时区）、节假日（结合特定国家的法定假日分析）。

难点与争议

溯源面临的根本难题是攻击者可以主动伪造所有技术指标——编译时间戳可篡改，C2 基础设施可租用其他地区的 VPS，代码可植入其他 APT 组织的已知工具（「假旗」操作）。2016 年美国大选干预调查中，俄罗斯被指控的 APT28/APT29 组织在部分技术指标上与其他已知组织有重叠，引发学界对技术归因确定性的讨论。

Mandiant（现 Google Cloud）于 2013 年发布的 APT1 报告是溯源报告的里程碑——首次以大量技术证据公开将一个 APT 组织与解放军 61398 部队直接关联，推动了政府层面将国家行为者网络攻击公开归因的先例。此后 FireEye/Mandiant、CrowdStrike、卡巴斯基等安全公司相继发布大量 APT 跟踪报告。