攻击如何展开

一封可疑电子邮件并不是“攻击”。这通常是对手采取的几个步骤中的第一步，每个步骤都有自己的目标，从进入到获得有价值的东西。 MITRE ATT&CK 是整个安全行业使用的知识库，将这些步骤命名为“策略”：正如其自己的参考文献中对第一个步骤的描述，“对手正试图进入您的网络。”查看整个序列可以更容易地发现单个好习惯可以在哪里打破链条。

生命周期，一次一步

1. 初始访问。对手需要找到进入的途径。对于个人而不是大型网络来说，这几乎总是网络钓鱼：为了让您点击、回复或安装某些内容而构建的消息、文本或呼叫。
2. 执行。对手控制的东西现在在您的设备或帐户上运行——打开了有害附件、安装了虚假更新、因为您未经阅读而批准了权限提示而运行的脚本。
3. 坚持。即使您关闭应用程序、重新启动手机或更改一个密码，对手也会安排保持访问：具有有效登录名的第二个应用程序、悄悄添加到您收件箱的转发规则、更改的恢复电子邮件。
4. 凭证访问。用 ATT&CK 的话来说，对手“试图窃取帐户名和密码”——通常是通过重复使用从不相关的违规行为中泄露的密码，或者只是通过令人信服的虚假登录页面索取密码。
5. 收集和渗漏。对手收集它想要的东西（文档、联系人、消息历史记录）并将其移至他们控制的地方。
6. 影响。最终目标是：发布您的数据、勒索您、冒充您联系您认识的人，或者将收集到的信息交给下令执行操作的人。

网络钓鱼：仍然是最常见的方式

CISA 关于网络钓鱼的指南描述了为什么第一步经常有效：攻击者使用“紧急或情感上吸引人的语言”并冒充您已经信任的组织，迫使您在您思考之前采取行动。它还指出，依靠发现错误的语法不再有效，因为攻击者越来越多地编写令人信服的消息。它的建议是三个词：认识压力策略，拒绝点击或回复，并通过电子邮件提供商自己的工具而不是邮件自己的“取消订阅”链接进行删除或报告。

凭证盗窃很少需要闯入

大多数帐户接管并不涉及破坏加密。它们涉及已经在不相关的违规行为中暴露并重复使用的密码，或者看起来与真实页面相同的虚假登录页面，只是要求您在其中输入密码。一旦对手拥有有效的凭据，为阻止入侵者而构建的系统通常会将他们视为合法用户，这就是为什么下一课关于比例控制的观点（以及密码学课程中关于防网络钓鱼登录方法的观点）与任何单一工具一样重要。

有害应用程序和虚假更新

“执行”步骤经常伪装成普通的东西：在官方商店外推广的消息应用程序，通过电子邮件而不是设备本身推送的“必需更新”，或者看起来合法的工具，要求的设备权限远远超过其声明的目的需要。在安装之前检查应用程序实际可以看到和执行的操作（联系人、位置、麦克风、文件）可直接解决此步骤，并定期再次检查以捕获稍后悄悄要求更多信息的应用程序。

为什么生命周期视图很重要

没有任何一个控制可以停止每一步。精心挑选的密码管理器会削弱凭据访问。检查应用程序权限会削弱执行力。多重身份验证（在密码学课程中介绍）会削弱初始访问和持久性。下一课将其变成一个可重复的过程：确定您实际上会失去什么，这些步骤中哪一个最有可能对您不利，并将您的努力与此相匹配，而不是试图立即防御所有事情。