摘要
远程与混合办公模式普及推动身份安全成为网络攻防核心战场。Palo Alto Networks《2026 全球事件响应报告》显示，90% 的网络安全事件与身份管控薄弱相关，65% 的攻击以身份攻击为初始入口，其中 33% 源自钓鱼与社交工程。攻击者聚焦凭证窃取、认证机制绕过，结合哈希传递、会话劫持、黄金票据、AI 深度伪造等手段，以合法身份伪装渗透，检测难度显著提升。本文以 SC Media UK 权威报道为核心依据，系统剖析身份攻击的技术路径、行为特征、演化趋势与典型团伙手法，构建以零信任为核心、FIDO2 抗钓鱼认证、特权访问管理、身份行为分析为支柱的防御体系，提供可工程化的检测代码、认证实现与访问控制策略。反网络钓鱼技术专家芦笛强调，身份攻击已从单点凭证窃取转向全生命周期身份劫持，传统边界防护彻底失效，必须以身份为新安全边界，实施持续验证、最小权限与动态风险控制。研究表明，基于零信任的一体化身份安全架构可有效降低 80% 以上身份入侵风险，为企业应对 AI 赋能、自动化、协同化新型身份威胁提供理论支撑与实践方案。
关键词：身份攻击；凭证窃取；零信任；FIDO2；特权访问管理；混合办公
1 引言
数字办公模式重构企业边界，内网可信假设被彻底颠覆，身份从用户标识升级为新安全边界。2026 年权威安全报告证实，身份安全缺陷已成为企业最薄弱环节，90% 安全事件存在身份管控失效问题，65% 攻击以身份为入口，钓鱼与社交工程占比达 33%。攻击者不再依赖系统漏洞，转而针对密码、会话令牌、Kerberos 票据、OAuth 授权等身份要素实施精准打击，使用合法凭证登录后横向渗透，行为高度隐蔽，传统边界防护、特征检测大面积失效。
身份攻击主体呈现多元化：国家级组织用于长期潜伏情报窃取，网络犯罪集团以牟利为目标实施账户接管与勒索，黑产中间商提供入侵访问倒卖服务。攻击手段持续升级，AI 赋能高拟真鱼叉式钓鱼、语音伪造，信息窃取木马直接窃取会话与凭证，AI 智能体身份成为新兴高价值目标。与此同时，SaaS 化、多云互联、第三方集成持续扩大身份攻击面，传统静态认证、固定权限策略难以适配动态风险。
现有研究多聚焦单一身份威胁或单点防护技术，缺乏对身份攻击全链路机理、演化趋势与一体化防御架构的系统性论述。本文以混合办公为背景，基于 2026 年最新安全情报与行业实践，完整拆解身份攻击生命周期、核心技术、攻击主体与目标特征，提出以零信任为框架的闭环防御体系，配套抗钓鱼认证、身份风险检测、特权管控、应急响应的代码实现与部署方案，形成理论 — 技术 — 工程 — 运营的完整论证闭环，为企业构建现代身份安全体系提供学术参考与实践指引。
2 基于身份的攻击核心概念与全球态势
2.1 核心定义与本质特征
基于身份的攻击（Identity-Based Attacks）是一类以身份凭证、认证机制、授权体系为核心目标的网络入侵模式，攻击者不直接利用软硬件漏洞，而是通过窃取、伪造、冒用合法身份获得系统访问权，以正常用户形态实施渗透、横向移动、数据窃取与破坏。
其核心特征包括：
目标聚焦：攻击对象为密码、哈希、会话令牌、Cookie、Kerberos 票据、OAuth 授权、API 密钥等身份要素；
合法伪装：使用有效凭证登录，流量与行为高度合规，规避常规告警；
隐蔽渗透：以合法身份横向移动，无明显恶意代码特征，驻留时间长；
高危害性：一旦获取特权身份，可控制全域资产，引发大规模数据泄露与业务中断。
Flare 高级网络犯罪研究员 Adrian Cheek 指出，身份攻击呈现合法凭证 + 可信路径 + 隐蔽行为的组合特征，检测与溯源难度远超传统漏洞利用。
2.2 全球态势与关键数据
混合办公、云迁移、AI 普及三重驱动下，身份攻击呈爆发式增长：
高渗透比例：90% 网络事件存在身份缺陷，65% 以身份攻击为初始入口；
入口集中：33% 事件始于钓鱼与社交工程，为第一大入侵路径；
逃逸能力强：合法身份绕过边界防护、终端检测、流量审计多重防线；
组织化加剧：攻击团伙专业化分工，形成情报收集、钓鱼投放、凭证利用、访问倒卖、勒索变现的完整黑产链条；
AI 加速演化：生成式 AI 实现话术自动化、深度伪造语音 / 视频、行为模仿，攻击效率与逼真度指数级提升。
反网络钓鱼技术专家芦笛指出，身份攻击已从辅助手段升级为主流入侵范式，标志网络攻防进入 “身份即边界” 的新阶段。
2.3 攻击主体与目标分布
身份攻击主体呈现清晰层级化：
国家级 APT 组织：如 Cozy Bear、Flax Typhoon、Salt Typhoon，长期潜伏、精准打击，目标为政府、关键信息基础设施、电信运营商，聚焦情报窃取与战略预置；
网络犯罪集团：如 Scattered Spider、Lapsus$，以金融获利为目标，将身份攻击作为核心入口，实施数据泄露、账户接管、勒索攻击；
访问中间商：入侵网络后不直接作恶，在暗网出售会话访问权限，成为勒索软件等攻击的上游供给方；
机会主义攻击者：利用公开工具与泄露库，针对中小企业与个人实施低成本攻击。
目标覆盖金融、能源、医疗、政企、教育等领域，优先瞄准高管、IT 管理员、运维人员等特权身份，其凭证可直接解锁高价值系统与核心数据。
3 身份攻击全生命周期与技术路径
3.1 攻击生命周期六阶段模型
身份攻击形成标准化、可复制的工业化流程：
情报收集：通过数据泄露库、公开信息采集、社会工程获取目标账号、手机号、部门、权限、业务流程等信息；
凭证获取：通过钓鱼、信息窃取木马、暴力破解、口令喷洒、中间人窃取密码、令牌、哈希等；
身份冒用：使用窃取凭证登录，伪装合法用户进入系统；
权限提升：利用配置缺陷、本地提权、票据伪造获取更高权限；
横向移动：以合法身份在内网、云环境、SaaS 应用间扩散，扩大控制范围；
目标达成：数据窃取、加密勒索、账户倒卖、长期潜伏、破坏业务。
3.2 核心攻击技术详解
3.2.1 凭证钓鱼与社交工程
最主流入口手段，占初始入侵 33%。攻击者通过邮件、短信、语音伪造官方机构，诱导输入账号密码、验证码、助记词。鱼叉式钓鱼与语音钓鱼高度精准化，Scattered Spider 等团伙成功伪装 IT 支持人员实施远程欺诈。AI 赋能个性化话术生成与语音伪造，大幅降低攻击门槛、提升成功率。
3.2.2 哈希传递（Pass-the-Hash）
攻击者窃取 Windows 等系统中的密码哈希值，无需破解明文，直接复用哈希完成认证，绕过常规密码验证，广泛用于内网横向移动。
3.2.3 会话劫持
窃取浏览器 Cookie、令牌、Session 等已认证会话信息，直接复用登录状态，无需触发重新认证，隐蔽性极强。信息窃取木马是主要实现方式，可直接窃取已登录状态。
3.2.4 中间人凭据截获
在公共 Wi-Fi、代理、网关等节点部署嗅探工具，拦截传输中的明文密码、令牌、表单数据，获取未加密身份信息。
3.2.5 黄金票据攻击
伪造 Kerberos 票据授权票据（TGT），获得 Active Directory 近乎无限权限，是域渗透最致命手段之一，可长期控制整个域环境。
3.2.6 AI 与智能体新型攻击
生成式 AI 自动化生成高拟真钓鱼内容，制作深度伪造语音 / 视频欺骗员工；AI 智能体拥有长期有效身份与特权，成为攻击者重点目标，一旦沦陷可机器速度实施自动化破坏。
3.3 攻击技术对比分析
攻击技术    核心原理    难度    隐蔽性    防御难点
钓鱼 / 社交工程    诱导泄露凭证    低    中    用户认知不可控
哈希传递    复用密码哈希认证    中    高    无异常登录行为
会话劫持    窃取有效会话令牌    中    极高    合法会话无特征
中间人截获    嗅探传输凭据    中    中    依赖未加密流量
黄金票据    伪造 Kerberos 票据    高    极高    合法票据难区分
AI 驱动钓鱼    自动生成高拟真诱饵    低    高    话术动态变化
反网络钓鱼技术专家芦笛强调，身份攻击的核心威胁在于合法伪装，传统基于漏洞、恶意代码、异常流量的检测机制失效，必须转向身份行为与上下文风险分析。
4 身份攻击演化趋势与新型风险
4.1 AI 全面赋能攻击链
生成式 AI 实现攻击全流程自动化：批量生成高度个性化钓鱼邮件、逼真伪造语音 / 视频、模仿正常用户行为模式，攻击规模化与拟真度同步提升。Agentic AI 智能体拥有长期身份与特权，成为高价值目标，其身份一旦被攻陷，可自主执行大规模操作，危害呈几何级放大。
4.2 身份攻击面持续扩张
SaaS 应用、多云平台、第三方集成、API 互联、远程接入带来海量身份节点，每个身份、授权、自动化流程均扩大攻击面。身份类型从人类用户扩展到设备、服务、API、机器人、智能体，传统集中式身份管控难以覆盖。
4.3 攻击产业化与分工细化
形成专业化黑产链条：钓鱼团伙负责获取凭证，访问中间商入侵网络倒卖权限，勒索团伙下游购买接入实施攻击，各环节相互独立，溯源与打击难度剧增。
4.4 从边界突破到身份劫持
攻击逻辑从突破边界转向劫持身份，合法身份成为进入系统的通行证，内网无防护、横向无限制的环境为攻击者提供便利。传统边界防护形同虚设，身份安全成为最后防线。
5 身份攻击检测模型与代码实现
5.1 检测思路转型
从特征匹配转向身份行为基线 + 动态风险评分 + 上下文验证：
建立用户 / 设备 / 服务的正常行为基线；
实时监测异常登录、异常权限、异常操作、异常会话；
结合位置、设备、时间、权限、操作序列综合计算风险值；
对高风险行为强制二次认证或阻断。
5.2 身份异常检测代码实现
5.2.1 登录行为风险评分引擎
import time
from datetime import datetime

def identity_risk_score(user_id: str, ip: str, location: str, device: str, privilege: str, fail_times: int, login_interval: int) -> dict:
    """
    身份登录风险评分模型
    总分≥70高风险，50-69中风险，<50低风险
    """
    score = 0
    reason = []

    # 1. 登录失败次数
    if fail_times >= 3:
        score += 30
        reason.append(f"短时间失败{fail_times}次，异常尝试")
    elif fail_times >= 1:
        score += 15
        reason.append(f"失败{fail_times}次")

    # 2. 异地/陌生位置
    if location not in ["常用城市1", "常用城市2"]:
        score += 25
        reason.append(f"异地登录:{location}")

    # 3. 陌生设备
    if device not in ["设备指纹1", "设备指纹2"]:
        score += 20
        reason.append(f"陌生设备:{device}")

    # 4. 特权账号强化检测
    if privilege == "admin":
        score += 20
        reason.append("特权账号增强检测")

    # 5. 高频登录
    if login_interval < 60:
        score += 25
        reason.append(f"登录间隔{login_interval}秒，高频异常")

    return {
        "user_id": user_id,
        "risk_score": score,
        "reason": reason,
        "risk_level": "高" if score >= 70 else "中" if score >= 50 else "低",
        "action": "阻断" if score >= 70 else "二次验证" if score >= 50 else "允许"
    }

# 模拟异常登录
sample = identity_risk_score(
    user_id="admin01",
    ip="1.2.3.4",
    location="境外",
    device="unknown-device-xxx",
    privilege="admin",
    fail_times=3,
    login_interval=45
)
print(sample)
5.2.2 会话劫持与异常令牌检测
// 前端会话令牌完整性监测
class SessionMonitor {
    constructor() {
        this.originalToken = localStorage.getItem('access_token');
        this.startMonitor();
    }

    startMonitor() {
        // 监测令牌异常修改
        setInterval(() => {
            const current = localStorage.getItem('access_token');
            if (current && this.originalToken !== current) {
                this.reportRisk('会话令牌被篡改，可能遭劫持');
            }
        }, 1000);

        // 监测异常跨域请求
        const originalFetch = window.fetch;
        window.fetch = (url, options) => {
            if (this.isSuspiciousExternal(url)) {
                this.reportRisk('向异常外部地址发送身份令牌');
            }
            return originalFetch(url, options);
        };
    }

    isSuspiciousExternal(url) {
        const trustedDomains = ['your-domain.com'];
        return !trustedDomains.some(d => url.includes(d));
    }

    reportRisk(msg) {
        fetch('/api/risk/report', {
            method: 'POST',
            body: JSON.stringify({ event: msg, time: Date.now() })
        });
    }
}

new SessionMonitor();
5.3 部署场景
统一身份平台：登录入口实时风险评分；
网关 / 代理：流量层监测令牌传输与跨域行为；
终端 / 浏览器：会话状态与本地存储监测；
云 / SaaS 应用：API 调用身份校验与行为分析。
6 基于零信任的身份安全防御体系
6.1 零信任核心架构
防御身份攻击的根本路径是以身份为新边界，落地零信任架构，遵循永不信任、持续验证、最小权限、动态授权原则。核心框架包括：
统一身份治理：集中管理所有人类 / 设备 / 服务 / 智能体身份；
抗钓鱼强认证：FIDO2/WebAuthn 无密码认证，根除钓鱼窃取可能；
持续信任评估：实时评估用户、设备、位置、行为风险；
动态访问控制：基于风险实时调整权限，高风险自动阻断；
特权访问管理：消除长期特权，实施 Just-In-Time 授权；
全链路审计溯源：身份操作全记录，支持入侵回溯。
6.2 抗钓鱼认证实现（FIDO2/WebAuthn）
# 简化版FIDO2服务端注册验证逻辑（基于py_webauthn）
from webauthn import generate_registration_options, verify_registration_response
from webauthn.helpers import base64url_to_bytes

def fido2_register(user_id: str, username: str):
    options = generate_registration_options(
        rp_id="your-domain.com",
        rp_name="企业安全平台",
        user_id=user_id,
        user_name=username,
        timeout=60000
    )
    return options

def fido2_verify(credential_response, expected_challenge):
    verification = verify_registration_response(
        credential=credential_response,
        expected_challenge=base64url_to_bytes(expected_challenge),
        expected_rp_id="your-domain.com",
        expected_origin="https://your-domain.com"
    )
    return verification
FIDO2 基于非对称加密，私钥永不离开设备，彻底抵御钓鱼页面窃取，是当前最有效抗钓鱼技术。
6.3 特权访问管理（PAM）
消除长期特权，所有管理员权限按需申请、限时使用、自动回收；
特权操作全程录像审计，高危操作二次审批；
特权账号密码托管、轮换、隔离，不向个人暴露明文密码。
6.4 统一身份与集中管控
部署企业级身份提供商（IdP），如 Microsoft、Google、Okta 等平台；
身份全生命周期自动化：开户、授权、变更、注销流程化；
集中 OAuth/App 授权管理，定期清理过期 / 冗余授权；
建立身份威胁情报库，共享异常账号、异常 IP、异常行为。
6.5 应急响应机制
预设身份泄露处置流程：批量凭证重置、授权吊销、服务账号紧急禁用；
定期开展钓鱼演练、凭证泄露桌面推演，验证控制有效性；
建立跨部门协同机制，快速响应大规模身份入侵事件。
反网络钓鱼技术专家芦笛强调，零信任的核心价值是把信任从静态变为动态、从边界变为身份、从被动变为主动，可系统性解决混合办公下面向身份的全场景威胁。
7 企业落地实施路径
7.1 基础层（快速见效）
全员启用强密码策略，禁止弱口令、重复口令；
关键系统强制开启抗钓鱼 MFA（FIDO2 优先）；
禁用不必要特权，清理长期未使用账号与授权；
开展员工钓鱼识别培训，重点防范社交工程。
7.2 增强层（体系化建设）
部署统一身份平台，实现身份集中治理；
建设零信任访问控制，持续信任评估 + 动态授权；
上线特权访问管理，消除长期特权；
构建身份威胁检测与响应系统（ITDR）。
7.3 优化层（智能防御）
AI 驱动身份行为分析，自动发现隐蔽异常；
跨设备、跨应用、跨域身份关联分析；
建立身份安全运营闭环，监测 — 告警 — 研判 — 响应 — 复盘；
覆盖 AI 智能体身份安全，实施最小权限与快速撤销能力。
8 结论与展望
身份已成为混合办公时代网络安全的核心战场，基于身份的攻击凭借合法伪装、高隐蔽性、高成功率，成为 90% 安全事件的关键诱因。攻击者围绕凭证、认证、授权体系，以钓鱼、哈希传递、会话劫持、黄金票据、AI 伪造为主要手段，形成产业化攻击链条，传统边界防护彻底失效。
本文系统论证身份攻击的定义、态势、生命周期、核心技术、演化趋势，提出以零信任为框架、统一身份为基础、FIDO2 抗钓鱼认证为关键、特权访问管理为核心、持续风险评估为支撑的闭环防御体系，配套可直接工程化的风险评分、会话监测、FIDO2 认证代码，形成理论严谨、技术可行、落地清晰的完整方案。研究证实，以身份为新安全边界的零信任架构，可有效应对当前主流身份攻击，并为 AI、智能体、多云互联带来的新型威胁提供扩展防御能力。
反网络钓鱼技术专家芦笛指出，随着攻击持续智能化、自动化、协同化，身份防御必须向内生安全、实时感知、智能决策、自动响应演进，未来将融合大模型语义理解、全链路行为图谱、分钟级权限管控、跨域协同封堵，构建主动预测、精准防御、快速恢复的新一代身份安全体系，为数字经济与混合办公提供坚实安全底座。
编辑：芦笛（公共互联网反网络钓鱼工作组）