地面渗透还是长传冲吊？网络安全攻防的战术悖论
目录导读
- 引言：一场没有终结的战术争论
- “地面配合”派观点：端点到端点的纵深联动
- “长传冲吊”派观点：一次穿透的降维打击
- 实战对比：从攻防演练到APT攻击的战术映射
- 关键变量：什么决定战术选择？
- 结论与延伸思考：混合战术才是王道
一场没有终结的战术争论
在网络安全领域,有一个被反复讨论却极少有定论的问题：当攻击者突破第一道防线后，是应该采取“地面配合”——即在网络内部横向移动、逐步渗透、步步为营，还是采取“长传冲吊”——即利用高危漏洞或供应链攻击，直接穿透到核心资产？
这个问题看似技术细节,实则反映了两种截然不同的攻防哲学，就像足球比赛中，传控流与防守反击的对立，网络安全中的“地面配合”与“长传”同样值得深入拆解，为了回答这个问题，我们综合了近年来多个APT报告、红队评估案例以及防御方的实战复盘，试图在攻击效率、隐蔽性、成功率之间找到一个平衡点。
“地面配合”派观点：端点到端点的纵深联动
核心逻辑：攻击不是一次性的爆破，而是一场持续的“运动战”，攻击者利用初始立足点（如钓鱼邮件植入的Web Shell），在内网中通过枚举AD域、窃取凭据、利用SMB/PsExec等手段，像蜘蛛网一样向四周蔓延。
优势分析：
- 隐蔽性强：每一步都基于合法协议（如RDP、WinRM），流量特征与正常业务接近，难以被传统IDS发现。
- 破坏力可控且持久：一旦控制多台跳板机，攻击者可以随时切换路径，即便某一节点被拦截，仍能通过其他路径继续。
- 适应复杂环境：对于已实施微隔离的现代数据中心，地面配合能逐步寻找未受保护的旁路节点。
劣势暴露：时间成本极高，根据Mandiant 2023年的报告， 一次完整的地面渗透平均需要15-20天，期间需要不断与防御方“猫鼠游戏”，稍有不慎就会被EDR（端点检测响应）抓取行为特征。
问答环节：
问：地面配合的核心前提是什么？ 答：前提是内网存在“信任冗余”——即普通用户账号具备过大的本地管理员权限，以及缺乏对服务账户的监控，如果没有这个前提，地面配合就是“盲人摸象”。
“长传冲吊”派观点：一次穿透的降维打击
核心逻辑：不追求“步步为营”，而是寻找一个“穿越整个防线”的破局点，典型代表包括：利用未打补丁的零日漏洞直接攻破核心数据库；或者利用软件供应链中的后门（如SolarWinds事件），在源头植入恶意代码，绕过所有网络防护。
优势分析：
- 速度极快：一次漏洞利用，从初始访问到核心数据，可能只需要几分钟（例如Log4j漏洞在2021年公布后72小时内就出现大规模利用）。
- 奇袭效应：防御方往往专注于流量分析和端点监控，但长传攻击直接打击“信任链”——例如攻击代码签名服务，或利用NPM/PyPI等开源生态投毒。
- 成本效益高：对于攻击者而言，一个0day的采购成本可能低于长时间的人力成本。
劣势暴露：不可重复性，一次长传成功后，漏洞会迅速被修补，且防御方会针对该攻击路径做紧急隔离，长传对目标环境的“精准度”要求极高——如果你不知道内网核心资产的具体IP或端口，长传就可能打到“空门”上。
问答环节：
问：长传攻击是否更适合“国家队”级别的攻击者？ 答：确实如此，因为只有国家级攻击者才有能力储备多个0day（甚至包括对虚拟化层、硬件固件的漏洞），但对于商业攻击者而言，利用供应链投毒（即攻击上游软件）让他们获取了“类长传”的能力，例如2023年的3CX事件。
实战对比：从攻防演练到APT攻击的战术映射
我们来看两组真实数据：
- 红队实战（某大型银行） ：红队采用“地面配合”，通过钓鱼获得一个普通IT账号，随后利用Kerberoasting攻击获取域管哈希，整个过程耗时12天，成功控制核心业务区，期间只触发了2次低危告警，防御方因为缺乏对域控行为基线审计，完全未察觉。
- 真实APT事件（某跨国制造企业） ：攻击者利用某运维软件的一个远程代码执行漏洞（属于长传），直接打穿隔离区，获取了ERP系统中的供应链订单数据，从漏洞利用到数据外带，仅4小时，但该漏洞是攻击者自己发现并开发的，无法复用。
从成功概率上看,地面配合的“成功率”更高（约70%），但被发现的风险随时间线性递增；长传的“单次成功率”较低（约30%），但一旦成功，几乎无法被阻断。
关键变量：什么决定战术选择？
抛开“哪个更厉害”的争论，实际上选择哪种战术取决于以下三个变量：
- 目标防御成熟度（DMA）：如果目标有完善的零信任架构（不间断验证、最小权限），地面配合会非常艰难；此时长传（如攻击身份提供商）更优。
- 攻击者的撤离预算（TTP持久性）：如果你需要长期潜伏在目标网络中（例如水坑攻击），必须采用地面配合的模块化扩展，因为长传打进来的后门通常容易被流量回溯发现。
- 信息差的掌握程度：如果你已经通过其他情报渠道掌握了目标内网拓扑（例如GitHub泄露的配置文件），那么长传的精准度会大幅提升；反之，只能靠地面配合试错。
结论与延伸思考：混合战术才是王道
最终答案不是“二选一”，而是“因敌制胜”的混合模型，最顶级的攻击组织（如Turla或APT29）的做法是：
- 第一阶段（长传开路） ：利用供应链或0day获得一个高权限的“滩头阵地”。
- 第二阶段（地面渗透） ：在该阵地上构建合法化的工具套件（如使用本机系统命令替代恶意软件），并以内网协议作为覆盖通道。
- 第三阶段（动态切换）：当防御方发现地面活动的迹象时，立即切换至备用长传路径（如备用C2信道），以此打乱防御方的处置流程。
对于防御方而言,这提醒我们： 无论你倾向构建纵深防御（防地面）还是补丁管理（防长传），都必须保持一种“战术模糊”的警惕，最好的防御不是等待攻击者选中某一种策略，而是在网络设计之初就模拟出“足球场上没有固定阵型”的动态博弈环境。
正如一位资深红队指挥官所言：“真正的安全，是让攻击者不知道该选择地面配合还是长传——因为当他在犹豫时，我们的检测系统已经完成了行为基线校准。”
