C2vsKill Chain

C2

C2 是攻击者与被入侵主机之间的通信通道，用于下发指令、窃取数据和维持持久化访问。Cobalt Strike 是最知名的 C2 框架，被红队和真实攻击者广泛使用。

Kill Chain

Kill Chain 由洛克希德·马丁提出，将网络攻击分为七个阶段：侦察、武器化、投递、利用、安装、命令控制、目标达成。防御者可在任一阶段打断攻击链。

C2

• C2 通信常伪装成正常 HTTP/DNS 流量
• Cobalt Strike 是最流行的商业 C2 框架
• 检测 C2 通信是防御方的核心任务

Kill Chain

• 洛克希德·马丁提出的攻击阶段模型
• 七个阶段：从侦察到目标达成
• 在任一阶段打断即可阻止攻击

C2

攻击者用于远程控制被入侵主机、下发指令和回传数据的通信基础设施

Kill Chain

将网络攻击分解为七个阶段的攻击建模框架

C2

• 红队演练的攻击基础设施
• 恶意软件分析中的通信追踪
• 网络威胁检测和响应

Kill Chain

• 攻击行为的阶段化分析
• 防御策略的分层设计
• 威胁情报的结构化描述

C2

C2 基础设施是高级攻击的核心组件，攻击者通过它远程控制被植入后门的主机（Bot）。现代 C2 框架支持多种通信协议（HTTP、DNS、SMB）和加密方式来规避检测。防御方需要通过网络流量分析、行为检测和威胁情报来识别 C2 通信。C2 的演进趋势包括：使用合法云服务作为中转、域前置（Domain Fronting）隐藏真实 C2 地址、以及去中心化 C2 架构。

Kill Chain

Cyber Kill Chain 借鉴军事概念，将网络攻击分解为：Reconnaissance（侦察）→ Weaponization（武器化）→ Delivery（投递）→ Exploitation（利用）→ Installation（安装）→ C2（命令控制）→ Actions on Objectives（目标达成）。防御策略是在每个阶段设置检测和阻断点。MITRE ATT&CK 框架是 Kill Chain 的细化和扩展。