从全域对抗视角分析网空对抗致效的本质机理
时间：2025年2月 作者：肖新光 来源：中国指挥与控制学会通讯
本文是2025年2月发表在《中国指挥与控制学会通讯》上的文章，由肖新光同志主笔。文章从网络空间、物理空间、认知空间的关系与作用出发，对网络空间进行了解构，提出了运行对抗是网络空间对抗中的主流和独有范式，解析了运行对抗的规律和特点，以执行体对象作为出发点，梳理了运行对抗的基本逻辑。
网络空间对抗的革命性价值以及网络空间本身的高度复杂性，要求我们必须发挥历史的主动性，需要创新性理论与创造性实践来深刻理解复杂性与对抗的本质，分析价值的内涵与规律，探索有效的工作路径与实施机制。
一、对网络空间及网络空间安全的再认识
（一）从全域视角理解网络空间的价值
战争的样貌正在从联合跨域作战向联合全域作战不可逆转地演进着。理解联合全域作战，也有不同的方法和层面。
美国空军和太空军2021版条例所提供的定义为：联合全域作战（JADO）由空中、陆地、海上、网络空间和太空领域以及电磁频谱（EMS）组成。联合部队在多个领域内的行动，通过整体筹划并协同实施，在速度和所需规模上获得优势并完成任务。美军的定义侧重陆、海、空、天、电、网层面既有作战力量的组合运用。
如果不是以力量编成视角出发，而是切换到行动和作用空间的视角来理解“全域”，则会看到构成自然世界和人类社会的三个基本维度，即物理、信息和认知，都在未来战争形态下更深入地融合在一起。三个基本维度又对应着具有自身法则的三大空间，即物理空间、网络空间和认知空间。三个空间的历史起点是不同的，物理空间的历史是宇宙及我们生存的星球（系）的历史，认知空间的历史是人类意识与思想的历史，网络空间的历史则是人类定义的一个虚拟世界的造物史。
图1 整体作战环境（美军《联合出版物3-0：联合作战》，2017）
本文的观点与美方所提出的整体作战环境的概念有相近之处，但也有视角的差异，美方将整体作战环境拆解为物理区域和因素、信息环境、系统三部分（如图1所示），其中“系统”类似人类社会的运行体系；美方将信息环境分为物理、信息、认知三个维度，体现了网络空间对物理空间的抵近融合和对认知空间的渗透影响，并将信息提升到与政治、军事、经济、社会和基础设施并列的等级。但由于本文关注的目标是对抗范式的抽象和提取，所以将物理空间、网络空间和认知空间视为全域的构成，把网络空间的革命性认识放到全域框架下，分析网络空间对物理空间和认知空间的影响和改变；对比网络空间出现前后，物理空间和认知空间的内在运行逻辑与交互方式的演进与变化。
在网络空间出现之前，物理空间的连接是依靠物理介质的作用完成传导，人类的连接协同（信息传递）依托直接沟通或原始物理介质（结绳、竹简、狼烟、纸张等）传递进行，物理空间和认知空间的作用是靠人的感官和肢体低效结合与交互的。而网络空间改变了物理空间和认知空间的组织模式，也改变了其连接和耦合方式，成为物理空间和认知空间的主要“界面”。
网络空间带来的价值作用主要包括：
（1）指挥控制：基于网络空间，对机械、生产线、装备、武器等物理空间实体下达运行指令。
（2）感知：人借由网络空间的反馈来实现对物理空间的感知。
（3）连接：由网络空间来组织形成物理空间中各种不同的机械装置之间的连接。
（4）组织：通过网络空间，形成人和人之间更高效的信息和认知传递，形成协同或群体行动。
（5）替代：随着网络的自动化、智能化，很多原来由人要做的事情，转化为可以由网络空间的智能体来执行。
（6）延展：拓宽了人的认知和心智能力，使人能够完成过去不能完成的工作。
（二）网络空间对抗带来的战争样式变革
网络空间对抗是网络空间攻防双方的对立状态和行动。其可以包括攻击作业方的网络利用（CE/CNE，指针对计算机网络的情报、侦察、入侵、获取等活动）、网络攻击（CA/CNA，指转化为物理空间致效影响），也包括防御方向的系统防御（CD/CND）、系统运营（CO/CNO）等等。为收敛进行规律性总结和便于统一话术，本文暂定使用“对抗”的窄带概念，即仅指代攻击方的作业和行动。
网络空间对抗带来了革命性变革，包括以下四个方面。
1.网络对抗是唯一可以实现攻击方战前塑造防御方阵地场景的作战空间
网络空间既是连接作战力量和资源的筋脉，也已经构成了可以完成完整交战过程的独立作战域，已经成为常态化作业领域。从对可攻击面、可利用性的持续挖掘，到提前预置，每天都在发生，实现先知后用，先埋后打。如从美方《联合网空条例》到美国国家安全局/中央安全局（NSA/CSS）技术网空威胁框架，均可以看到美军以网络利用作为网络攻击的前提步骤。而且提出“战时以物理装备为主导，信息装备为辅助；平时以信息装备为主导，物理装备为辅助”。因此，网络空间作战对抗与物理对抗的重要差异性之一，在于攻击方在战前已经在利用战场环境塑造侵入型机会窗口，不断改变信息不对称性，将被攻击方的信息资产体系和防御阵地，塑造成有利于攻击方作业的战场。
2.网络对抗是唯一可以实现完整、系统、连续地观测对手的情报作业方式
传统的军事侦察是一种测绘活动，通过声、光、电等信号和情报的持续采集、包括主动信号发射的反馈等等，获取的是对手阵地、装备的信息。而传统的人力、物理等获情手段，可以抄写、复制、翻拍对手文献、信息资料，但无法达到持续连续观察。只有网络空间作业可掌控与被攻击方系统操作者完全一致的系统权限，基于对手的角色的全过程获取其所有信息资料。
3.网络对抗是唯一能批量化阻断甚至翻转对手武器装备控制权的作战样式
武器系统比以往更加依赖于软件和通信，并且更加网络化、智能化。自动化和连通性已经成为军事能力的基本面，软件定义、敏捷生成、智能决策，则决定战争的未来。但这也使军事体系的网络暴露面增加、打击面扩大，指挥控制体系、智能武器装备甚至战争潜力体系，都有可能被入侵控制。导致指挥体系混乱、战争潜力体系崩溃，武器系统失速、失准、失联、失能、失控等。
如前美国陆军参谋长高级顾问Maren Leed所指出的：“网络攻击可以在多个时点发起攻击，包括侵入早期开发过程（例如导致可靠性问题）、影响使用决策（即使只有一个武器出现问题，也会终止整个武器种类的使用），导致武器延迟发射等等。”
4.网络对抗是最低成本方式完整瓦解社会运行和战争潜力的作业方式
网络攻击的运行方式为瞬时打击、可无限并发攻击多点，而成本模式为相对（传统装备）低的研发成本和零复制成本。因此网络空间对抗在所有对抗活动中，具有最大的非对称性作业能力。现代社会体系在经历信息化和数字化转型后，人流、物流都依托信息流维系，攻击关键点则反应迅速级联放大。体系依次生成，则体系从此解体。认知对抗更是网络的主要传递和放大方式。
（三）网络空间的模型抽象和空间逻辑的实质
基于网络空间与物理和认知空间的关系，网络空间可以基于物理承载、逻辑运行、人员活动进行层次抽象。与之相类似的是，美军在《联合网空行动》中将网络空间从构成上划分为三个层次（如图2所示）：物理网络层（Physical Network Layer）、逻辑网络层（Logical Network Layer）、角色身份层（Cyber-Persona Layer）。物理网络层是网络空间的物质承载（包括实体资产和硬件设备、介质链路、电磁频谱以及与现实世界的融合接口等）；逻辑网络层构建了网络空间对象之间的相互关系、相互作用以及作用的机理；角色身份层则映射了现实世界中实体人员。
图2 网络空间的三个构成层（美军《联合网空行动》，2022）
（四）网络信息体系不是简单的连接体系，而是复杂运行体系
单纯从字面出发，非常容易将网络本质视为一种连接关系或者一种拓扑结构，或者说是计算节点间的连接关系。这种认知也许适用于“网络”的早期形态，即用网络作为一种介质替换传统的电话、电报、磁盘交换、电话拨号调制等原始连接方式的时代。例如“网络”最早的中文概念就是“在电的系统中，由若干元件组成的用来使电信号按一定要求传输的电路或这种电路的部分”（《现代汉语词典》1993年版）。毫无疑问，这个概念在当时就已经严重滞后于发展。但在最新版的汉语大辞典中，依然将网络解释为“电路或其一部分的统称”。这种滞后的概念其实映射着普遍存在的对网络的错误理解，即把通讯和传输视为网络的主导型因素，但原始的通信网络转化为现代信息体系的核心突变，是现代计算机的产生。在计算机出现前，信息存在于人的心智世界中，和低效的物理介质的记录下，仅在通讯时其转化为一种信号和编码。而计算机的出现真正让信息不只是链路承载的传输信号，而成为被光电介质海量存储，并通过计算单元进行处理的数据。网络信息体系的价值密度高度聚集于主机系统一侧，而在信道侧则是“稀疏”的。信道侧的数据传输是瞬时的、固定的、部分的，而在主机系统侧，信息是持久的、动态变化的、全量的。更重要的是计算机所承载的程序代码不是一般意义的信息数据，而是运行逻辑。因此在信息技术三大基本要素“计算、存储与通信”中，计算是最本质和最具有能动性的要素。随着技术的演进，简单计算任务也成为复杂的任务处理，主机系统发展形成复杂的运行体系。现代网络信息系统的本质结构早已不是分散化的计算节点和信息通信，而是一个泛在的、模糊而弹性的分布式协同计算体系，即运行体系。因此，“运行”远比“连接”“传输”更能接近网络空间的行为本质，复杂的运行机理和人机关系更是网络系统复杂性的主要来源。
（五）网络空间安全的重心是运行安全
为对网络空间安全的复杂性降维，实现有效分工协同，往往将其拆解为不同的方面或层次，其中一个相对笼统的拆解方法是将其划分为通讯安全和运行安全，而运行安全还可以进一步细化为系统安全、应用安全、数据安全等等。但不能回避的是，不同分工间不仅要协同与配合，也要进行资源竞争。无论是一个具体的信息系统，还是全局的关键基础体系，乃至经济社会的运行，都涉及安全投入资源总量的合理性测算，以及不同层次方面的资源投入的合理分配。攻击者通过侵害价值而获得收益（战略的、经济的、心理的），依托复杂性与可利用性的窗口发动攻击。因此，应基于资产价值分布和攻击活动的全面分析预测，将防御资源更多投放在攻击主要目标、路径和攻击资源运用的焦点上。但网络的早期形态潜移默化地带来了对网络防御的重点是信道和连接的认知惯性。导致在网络防御的全局工作（包括安全、密码、保密）的资源分配中，更多聚集于信道和边界，而承载关键资产、受到更多攻击、对抗难度更高的运行体系，特别是主机系统、工作负载和应用的安全则实际上没有获得充分投入。
二、运行对抗是网络空间对抗的专属范式
（一）对抗的抽象范式总结
从作战的致效目标和机理的方式进行对抗范式的抽取，可提炼出四种对抗范式，即物理对抗、信息对抗、运行对抗和认知对抗（详见表1）。
表1 对抗的基本范式
| 范式 | 致效目标 | 致效方法 | 致效方法 |
|---|---|---|---|
| 认知对抗 | 人、组织、机构、识别判断机制 | 人、组织、机构、识别判断机制 | 运用诱导、欺骗、假借等手段影响认知，瓦解意志，造成混乱。 |
| 运行对抗 | 信息体系 | 信息体系 | 将攻击者意图转化为运行逻辑，封装成运行代码或特定数据，对目标实现投放、运行和致效。 |
| 信息对抗 | 存储介质所承载的信息，线缆、无线信号频谱等介质形成的信道及其传输的信号 | 存储介质所承载的信息，线缆、无线信号频谱等介质形成的信道及其传输的信号 | 对信息和电磁信号的获取、解密、监听和干扰等。 |
| 物理对抗 | 生物体、物理器物、环境 | 生物体、物理器物、环境 | 基于物质和能量形成武器，实现对生物体、物资和环境的杀伤。 |
（二）网络空间对抗的基础范式是运行对抗
对抗的第一要素是人，人是对抗中最具能动性的因素。对抗的起因来自人的意识，对抗的方法来自人的设计，对抗的工具（武器）来自人的制造。生产活动的基本要素是劳动者和生产工具，军事活动的基本要素是有生力量和武器，可以将其简称为“人”和“器”。
物理对抗是历史最悠久和最基本的对抗方式，原始人类与野兽的搏斗、原始人类间的战斗就是最早的物理对抗；认知对抗则是伴随物理对抗同步产生的；信息对抗是跟随基于介质的信息交流活动而产生的；三种对抗都在网络空间出现之前就已经存在。如表2所示，在网络空间出现之后，三种传统对抗的方式产生了重大变革，更出现了新的对抗范式——运行对抗。运行对抗是攻击者将自身的攻击意图转化为攻击目标所在网络信息系统的运行逻辑，是网络空间所独有的对抗形式。而与此同时，物理对抗、信息对抗和认知对抗也在网络空间中重新延展，特别是信息对抗、认知对抗已经将其主场景切换到网络空间。
表2 对抗范式在网络空间出现之前与之后的主要变化
| 对抗类型 | 网络空间出现前 | 网络空间出现后 |
|---|---|---|
| 认知对抗 | 借助人与人的直接交流，或借助传统信息交换介质（书信、电报、电话）和发布通道（报纸、广播、电视等）对被攻击者（人或人群）产生认知影响。 | 依托网络为主要介质通道实现认知影响扩散与塑造，实现更快速的扩散和级联反应、超低成本的双向互动和群体互动，可实现目标个体和人群精准画像，可精准实施，可深度伪造，并能够通过社会工程辅助提升其他对抗的执行成功率。 |
| 运行对抗 | 无 | 攻击者将自身的攻击意图转化为攻击目标人机系统的运行逻辑，获取控制权和所有权成为可能。 |
| 信息对抗 | 针对传统通讯介质、线缆、电磁频谱，进行信号的截获、压制、干扰、解密等，以获取所传输的信息或破坏干扰信息传输的进行。形态是通讯对抗。 | 现代网络信道和协议成为主要对抗环境，信息系统存储和加工的数据信息成为主要的目标对象。 |
| 物理对抗 | 依托物质和能量对目标有生力量和装备实施毁伤，以及俘获、缴获对方有生力量和装备。 | 更高效的能力组织和力量编成，更丰富的传感采集和数据分析，更快速智能的决策，更精准的打击。 |
运行对抗是网络空间所独有的对抗形式，其原因在于信息系统虽然也是依赖于物理实体的“特殊装置机械”，但作为一种“自动化计算机器”，其与作为能动性主体的人具有相似性。正如控制论创始人诺伯特·维纳所指出的：“它们（计算机器）都能执行一项或若干项特定的任务，他们都具有感官机器，并能通过感官机器与外界进行交往”，“依已有范例为蓝本而行动，是神经系统和自动机的相同部分”，“机器就像生命体一样，都是一种装置。正因为机器具备了决策能力，才能在一个总体趋势处于衰退的世界中，创造出一个区别于整体趋势的局部组织。”正因为计算机既具备与工具/武器类似的物理装置属性，又具备与人的思维和执行逻辑的部分相似性，才使其在生产活动和战争行动中，逐渐成为独立于人和工具/武器之外的第三种对象，我们称之为“机”（如图3所示）。这是网络空间能够与物理空间、认知空间平行存在，成为独立空间的根本原因，也是网络空间能够实现将攻击意图直接转化为攻击目标运行逻辑的根本原因。这就使网络空间对抗超出了频谱、信号、信息层面的传统电子对抗或通讯对抗概念，物理设备、介质、链路和电磁频谱只是承载对抗的物质基础，但主流的对抗活动并非基于物理层面的信号频谱和强度完成，而是基于运行系统的逻辑执行来完成，这带来了无穷的变化、想象力和可能性。
与此同时，四种对抗范式是相互关联交织的，例如：运行对抗是信息对抗中获取信息的关键作业支点，可以为认知对抗提供多种要素支撑。运行对抗致效后果即可转化为物理空间致效影响，也可认知对抗中带来传导和扩散。
图3 基于人+器+机的对抗范式图示
（三）运行对抗的致效机理
运行对抗是攻击方的人机体系对攻击目标的人机体系的作用过程。运行对抗的致效机理是：攻击者通过攻击侧的人机体系，将攻击意图封装为“网络武器”，通过预置、投送、突防、植入等过程，切入目标人机体系的运行逻辑中（包括目标人机体系的“人机耦合过程”和“系统运行过程”），以实现对目标人机体系“运行定义权”“运行控制权”“资产所有权”的掌控，从而达成最终攻击目的。
网络武器，是承载攻击意图的执行体或特定数据，其实现致效的基本条件是完成与打击目标的运行耦合，继而完成与被杀伤目标的运行机理的“重定义”与“重定向”过程，实现“控制、获取、修改、中止、破坏”的效果，并可以进一步转化为被攻击方物理空间的实际损失，如失控、失密、失联、失准、失能、失财等。
（四）运行对抗致效遵循的是被攻击场景的运行规律
无论在何种空间进行作战对抗，其武器构建和致效过程都无法逾越该空间的构成要素和运行规律。物理空间作战中，武器和目标所遵循的共同规律是自然法则。物质和能量是物理空间中的基础构成要素，也是杀伤目标的作用物，其致效遵循的规律包括但不限于：能量守恒定律、物质不灭定律，牛顿运动定律、热力学定律、熵增定律等。
网络空间是由运行指令和数据所构造、支撑的人造空间。人造空间意味着空间的法则由人所定义。在物理、逻辑和角色每个层次，包括层间关系，都有对应的运行机理和逻辑条件，包括但不限于：（1）物理层：物理硬件规格、网络链路介质和连接规格、网络物理拓扑设定、外设扩展的物理接口规格、处理器与指令集等方面的规格等；（2）逻辑层：操作系统与执行环境设计、数据结构与文件格式设定、通信协议设计和约定等；（3）角色层：账号、凭证、权限和属性等方面的约束和设定。表3进行了上述规律的简要枚举，但需要说明的是其中部分规则实际上是跨层的。
网络空间是由多源主体共同创造的。在这个创造过程中，部分按照通用的共识标准实施，但对应的产品、系统和应用有很大差异，更有大量的私有协议和差异化实现。网络武器虽然来自攻击方的开发、编译、选择、加工等过程，但封装的攻击逻辑必须完成与目标场景的运行耦合才可能运行并致效，因此其必须按照攻击目标场景的运行规律来构造，而不是按照攻击者自身系统的运行规律来构建。例如，一个专门针对Windows系统的PE格式木马样本无论编写得多么精巧，都无法在没有安装对应扩展执行组件的麒麟操作系统上运行。一个针对OPENSSH8.0版本高危漏洞的利用工具，对8.1版本就可能完全无效。这就是网络空间及对抗活动中非常特殊的属性，即武器的开发和运用需要以充分“知彼”为基础，要按照目标人机系统的构成和规则定义来完成投放、打击和致效。
表3 不同网络空间层次对应的规律
| 网络空间层次 | 对应层次的规律定义 |
|---|---|
| 角色层 | 管理员、用户 账号、特权、权限控制 身份名凭证 |
| 逻辑层 | 运行入口定义 数据结构与文件格式（如：PE、ELF、APK等） 通信格式、密码协议 操作系统与执行环境（如：Windows、Linux、麒麟、统信） 基本对象类型（如：代码、数据、状态） |
| 物理层 | 处理器与指令集（如：X86、ARM、MIPS、PowerPC、RISC-V） 体系结构（如：冯Ÿ诺依曼、哈弗） 通信体系（如：电信号、光信号） 基础硬件（如：计算、存储、通信） |
（五）运行对抗致效依赖于目标系统的可用性而非脆弱性
攻击方是基于被攻击场景逻辑定义攻击武器和活动，完成与被攻击场景的运行耦合。需要重新理解运行致效的依赖条件，并重新认识信息系统的脆弱性。
表4 信息系统的可攻击面
| 层次 | 可攻击面 | 方法机理 |
|---|---|---|
| 人员身份层 | 流程耦合、认知影响、失误与欺骗 | 基于认知（如社工）达成统计效果 |
| 逻辑层 | 脆弱性利用 | 基于漏洞利用达成正常使用所不能达成的攻击逻辑 |
| 逻辑层 | 可调用性利用 | 基于系统调用、接口等的封装 |
| 逻辑层 | 开放性利用 | 基于开放的端口服务实施 |
| 逻辑层 | 可操作性利用 | 基于操作接口直接实施操作 |
| 物理层、逻辑层 | （硬件与外设）可扩展性利用 | 基于外设、接入连接实施操作 |
| 物理层、逻辑层 | 信道、信息交换利用 | 基于通信、信号与能量的辐射（含侧信道） |
信息系统的复杂性导致脆弱性不可避免地出现。系统脆弱性的存在扩大了系统的暴露面和可攻击面，提升了攻击突防的成功率，并增加了攻击的隐蔽性和防御难度。在大量的表述中，系统具备脆弱性，被作为攻击致效的前提条件或者必然条件。但通过对信息系统攻击面的梳理（详见表4），可以看到攻击活动是基于系统连接、应用、访问的正常通道和服务展开的，其是一个和人员正常使用与程序正常执行几乎同质化的过程。而信息系统需要满足使用者的需求，需要承载执行体的运行逻辑，提供操作交互、数据交换和业务运行等服务。因此在物理层、逻辑层、人员身份层都不可避免地存在着可攻击作业点。对攻击方来说，利用是其中更隐蔽高效的利用窗口，但并非唯一选择。信息系统具备可用性，已经构成了攻击致效的必要条件，可以通过遏制脆弱性来缓解攻击，但并不能幻想通过消亡脆弱性来杜绝攻击。但脆弱性依然是极为关键的威胁情报和攻防资源，因为其构成了对攻击者单向开放的可用性。
美军在《网络空间联合行动（2022版）》中新定义的内部网络空间行动样式为系统操作（SO）、安全运营（CO）和安全防御（CD），这三种样式可以分别理解为操作者面向运行体系（资产）的动作、操作者面向脆弱性的动作、操作者面向威胁的动作，其中系统操作是最新加入的。而这种修订，也可以和我们的观点作为一种映射与佐证，即防御视野要从运行体系的全局来看，而不是仅仅针对脆弱性展开。
（六）运行对抗的致效具有布尔性特点
物理对抗致效基于物质和能量达成，其根本原因是对目标施加的物质和能量超过了目标的结构承载能力，因此其最终毁伤可以通过量的反复叠加来完成。“没有一发RPG（Rocket-Propelled Grenade，火箭推进榴弹）解决不了的，如果有，就再来一发”就是这种叠加效应的通俗表述。但在网络空间中，绝大多数网络攻击需要完成投放/预置物在目标场景的执行，所以就要依赖于连接、协议、身份、格式、运行入口、权限甚至精确的跳转位置等一系列规律的匹配来作为条件。网络空间对抗条件有的存在先后支撑关系，有的需要组合并存，最终才能达成效果，因此其逻辑是布尔式的，而非可以通过量的积累来叠加。对应到每个战术动作上，就只有成功和失败，很难靠重复提高成功概率，也难以实现效应的叠加。
而即使是基于大量叠加和并发的攻击活动，如DoS（拒绝服务攻击）、DDoS（分布式拒绝服务攻击）等非投放+执行的攻击，是基于流量、链接数的总量来完成的，其机理也不是承载结构毁伤，而是攻击投放量对处理能力的饱和。其同样是基于条件和逻辑达成的，因此其也具有一定的布尔性特点。
三、运行对抗的基本逻辑
（一）网络空间杀伤链是攻击武器的产生与运行过程的抽象模型
运行对抗是攻击武器与被攻击场景的运行耦合过程，这一观点可以与洛马网络空间杀伤链模型互为验证。在该模型中，网络攻击过程包括“侦察－武器构建－载荷投送－突防利用－安装植入－通信控制－达成目标”七个步骤。通常情况下，其所构建的武器（载荷）即指攻击所利用的恶意代码。
为从运行耦合这一角度更深入地理解攻击武器，本文引入了新的概念“执行体”用于整合系统、应用和攻击中的运行对象，并在攻击武器方面用攻击执行体替代传统的恶意代码的概念，以及覆盖当前流行的混合执行体攻击、ROP（返回式编程）等新型攻击。
（二）执行体是系统运行和对抗的基本对象
现代信息系统由操作系统、应用软件、脚本等多个运行系统构成，这些运行系统都带有自身的功能设定，相互间存在依赖关系。操作系统、应用软件又由多个甚至海量的可执行对象（可执行文件）组成，攻击者所使用的攻击工具与恶意代码，也是可执行对象。此前并没有一个统一概念来准确定义运行对象，描述运行系统和可执行对象的嵌套关系。将它们统称为“程序”是不准确的，虽然它们都是通过代码编写过程产生的，但其在最终场景的形态，并非源代码，而是可运行的实体对象。将他们都称为“软件”也是不科学的。本文统一称之为“执行体”。执行体包括可以在目标系统运行的编译二进制对象，可以在对应解释环境中运行的脚本对象，或者是带有宏和脚本运行机制的复合文档对象、硬件中的固件对象等，也包括攻击者构造的实现溢出运行的特定数据。所有具备可执行能力、有机会转化为指令的数据对象，都可归入执行体范畴。
本文为执行体给出的定义是：执行体是由代码指令和数据综合构成的，能实现特定目的的一个或一组实体对象。
执行体的具体形态，可以从目的（功能）实体和对象实体两方面来看。
从功能实体的角度看，一个独立的可执行文件对象是一个执行体；同时很多可执行文件依赖于调用其他可执行文件，或加载相关配置、数据文件加载才能实现正常执行或完成功能，此时也可以把这些对象视为一个执行体对象组；由多个可执行文件及配套的配置和数据等组成的操作系统、软件或开放服务，也可以看作一个“复合执行体”，即执行体可以构成嵌套关系。
而从对象实体的角度看，执行体是网络空间存储介质上的带有其存储边界或执行空间的I/O或运行对象。从数量统计来看，绝大部分执行体都是以可执行文件的方式存在于系统上。例如Windows系统下的dll、exe等编译可执行文件，Linux系统下的elf文件，Android系统下的apk文件，由脚本语言编写的脚本文件等。但我们称之为“执行体”而非“可执行文件”，原因在于：
（1）一些执行对象在信息系统中并不是以磁盘系统上的文件形态存储。如引导扇区或BIOS/UEFI，以及其他固件中的执行对象等。
（2）一些执行对象并不是以独立文件的形态存在，而是以复合文档或其他形态的数据文档内嵌对象的方式存在，典型的如Office等文件中的“宏”。
（3）一些攻击过程中，恶意代码并不落地成为磁盘文件，而只在内存中运行。
（4）一些本身在设计目的上不是用来执行指令的数据文件，如文档、图片、视频等，均存在通过特定的数据构造，导致系统或应用在读取和解析这些文件时发生溢出，从而执行恶意指令的情况。
现代信息系统中的执行体形态与运行模式是复杂的，表5枚举了常见的执行体形态。通过列举这些执行体在正常应用和网络攻击中的情况，可以看到，除了少数情况的执行体形态只在网络攻击中出现，其余大部分则同时存在正常形态和攻击利用的情况。这也印证了本文关于可用性才是网络攻击的依赖条件的观点。
表5 常见的执行体形态
| 执行体形态与模式 | 存在形式 | 格式 | 常见扩展名 | 执行环境/平台 | 加载 来源 |
正常执行体示例 | 恶意执行体示例 | 对应攻击组织或行动 | 攻击运用的普遍性 |
|---|---|---|---|---|---|---|---|---|---|
| 编译可执行文件 | 文件 | 二进制 | .exe、dll、elf | 操作系统 | 磁盘 | 系统和应用程序中的可执行文件 | ssmss.exe | 白象 | 普遍使用 |
| 驱动程序文件 | 文件 | 二进制 | .sys、ko、kext | 操作系统 | 磁盘 | 系统服务和硬件设备所需要驱动文件 | MrxCIs.sys | 震网 | 少数使用 |
| 脚本文件 | 文件 | 文本 | .vbs、ps1、pl、py、sh、js | 应用程序解释 | 磁盘 | 主机或CGI的脚本应用 | InstallConfNT.vbs | 污水 | 普遍使用 |
| 批处理文件 | 文件 | 文本 | .bat、sh | 应用程序解释 | 磁盘 | 各种操作的批命令 | x6teyst.bat | 肚脑虫 | 部分使用 |
| AutoCAD 插件 |
文件 | 文本 | .lsp | 应用程序解释 | 磁盘 | LSP脚本代码 | acad.lsp | AutoCAD木马 | 普遍使用 |
| 宏 | 非文件/嵌入式 | 文本或二进制 | .vba、vbs | 应用程序解释 | 磁盘 | 基于VBS开发的应用 | invisible.vba | 幼象 | 普遍使用 |
| 引导代码 | 非文件/嵌入式 | 二进制 | 无 | 固件系统 | 磁盘 | 系统引导的MBR | 修改系统MBR进行加载 | 沙虫 | 部分使用 |
| UEFI驱动 | 文件 | 二进制 | .efi | 固件系统 | 磁盘 | UEFI系统启动管理器“bootmgfw.efi" | SmmInterfaceBase.efi | MosaicRegressor | 少数使用 |
| UEFI程序库 | 文件 | 二进制 | .dll、lib、efi | 其他执行体 | 磁盘 | UEFI标准库文件 | rkloader.efi | MosaicRegressor | 少数使用 |
| 微码 | 非文件/嵌入式 | 二进制 | .bin、mod | 固件系统 | 固件 | CPU微码指令 | cpu微码更新 | 未知 | 少数使用 |
| PXE引导 程序 |
非文件/嵌入式 | 二进制 | .efi | 固件系统 | 网络 | "pxelinux.0"、"grub.efi"、" bootmgr.exe" | V-Bootkit工具 | 未知 | 少数使用 |
| APK程序 | 文件 | 复合 | .apk | 混合执行 | 磁盘 | 手机APP应用。 | KisaAndroidSecurity.apk | Kimsuky | 部分使用 |
| JAR程序 | 文件 | 复合 | .jar | 虚拟机执行 | 磁盘 | 手机等环境下的jar程序 | down.jar | APT34 | 部分使用 |
| 小程序 | 文件 | 文本 | .wxss、wxml | 混合执行 | 网络 | 微信小程序 | 赌博技巧引诱用户 | 未知 | 部分使用 |
| WASM程序 | 文件 | 二进制 | .wasm | 虚拟机执行 | 网络 | WASM程序 | 410ac98e4105d7364a6210afd4429c02.wasm | 未知 | 部分使用 |
| 容器镜像 | 文件 | 复合 | .tar、docker | 其他执行体调用 | 磁盘 | CentOS镜像 | vibersastra/ubuntu | 未知 | 部分使用 |
| SQL代码 | 非文件/嵌入式 | 文本 | 无 | 应用程序解释执行 | 内存 | 各种ORM生成的SQL语句 | initial_oracle_exploit.sql | 方程式组织 | 部分使用 |
| SQL注入 | 非文件/嵌入式 | 文本 | 无 | 应用程序解释执行 | 网络 | 无 | “WHERE username= or 1=1--” | 沙虫 | 普遍使用 |
| DDE漏洞 利用代码 |
非文件/嵌入式 | 文本 | 无 | 应用程序解释执行 | 内存 | 无 | DDEAUTO c:\\windows\\system32\\cmd.exe "/k calc.exe" | APT28 | 普遍使用 |
| 安装包 | 文件 | 复合 | .msi、exe | 其他执行体调用 | 磁盘 | 官方提供的安装包程序 | MsAulis.msi | 苦象 | 部分使用 |
| 伪编译可执行文件 | 文件 | 复合 | .pyz、class | 混合执行 | 磁盘 | 正常Python源码打包的程序 | Test.pyz | 海渊 | 部分使用 |
| SNAP应用 | 文件 | 复合 | .Snap | 操作系统执行 | 磁盘 | Ubuntu Snap Store | 2048buntu 手机游戏 | 未知 | 部分使用 |
| eBPF程序 | 非文件/嵌入式 | 二进制 | .o、bpf | 虚拟机执行 | 内存 | ebpf_prog | Boopkit（后门） | 未知 | 少数使用 |
| 裸机程序 | 非文件/嵌入式 | 二进制 | .MC7 | 固件系统执行 | 固件 | 无 | 写入特定的PLC变量来控制MC7执行 | 震网 | 少数使用 |
| BadUSB | 非文件/嵌入式 | 复合 | 无 | 固件系统执行 | 固件 | 无 | USB攻击设备 | 橡皮鸭 | 少数使用 |
| 一句话木马 | 非文件/嵌入式 | 文本 | .php、asp、aspx、jsp | 应用程序解释执行 | 网络 | 无 | APT29 | 普遍使用 | |
| 网络服务 溢出 |
非文件/嵌入式 | 二进制 | 无 | 其他执行体调用 | 网络 | 无 | CVE-2017-0144（永恒之蓝） | Lazarus | 普遍使用 |
| 文件格式 溢出 |
非文件/嵌入式 | 二进制 | .docx、lnk、pdf、swf | 其他执行体调用 | 磁盘 | 无 | CVE-2017-0199 | 绿斑 | 普遍使用 |
| 二进制 ShellCode |
非文件/嵌入式 | 二进制 | 无 | 其他执行体调用 | 内存 | 无 | ShellCode | 海莲花 | 普遍使用 |
（三）执行是系统与安全最关键的机理和入口
执行体本身是一类数据，但其是一类特殊的数据，所承载的是运行逻辑。执行体的要旨是执行，执行就是执行体作为静态数据对象转化为动态的运行对象的过程，是由存储数据向指令转化的入口和过程。
计算机主机系统通过固件（BIOS/UEFI）、主引导记录、OSloader、内核模块、驱动、服务的链式对象执行成为可用系统，并通过应用软件的安装和运行，实现功能扩展和升级。而攻击执行体也要在系统和应用软件中实现执行加载。系统和应用中的正常执行体运行与攻击执行体运行，都是基于执行动作的同构过程。
成功执行的前提条件和约束是：（1）静态对象可读取：执行体必须是运行环境中的数据对象才能完成，因此需要由介质连接、投放或预置。（2）获得运行入口，即通过引导、调用、包括溢出跳转等方式实现从数据到指令的转化。（3）通过系统约束条件限制，包括运行身份、权限、签名验证等等。
执行是网络攻击最关键的机理和入口，不能实现执行就无法形成后续工作。攻击执行体在运行之前，其是没有能动性的静态数据，在与安全机制对决过程中处于绝对的被动地位，而一旦攻击执行体完成执行，实现了指令转化，则攻防平衡就急剧地转向攻击方。因此，执行管控也是防御中最关键的，而且是可以有所作为的防御点。
（四）运行对抗是执行体作用于运行环境的过程
网络空间杀伤链是一个构造执行体作用于由执行体组成的目标系统的过程。表6枚举了在杀伤链的各个阶段中所关联的执行体。在杀伤链的全过程中，攻击侧的攻击武器、辅助工具，在每一个阶段都有不同的执行体特点。
表6 杀伤链各阶段所关联的执行体对象
| 侦察跟踪 | 武器构建 | 载荷投递 | 漏洞利用 | 安装植入 | 命令控制 | 致效应用 | |
|---|---|---|---|---|---|---|---|
| 攻击武器 | 主动扫描扫描器 | 攻击平台 恶意代码 漏洞利用工具 |
恶意代码（传输中） | EXP | 远控木马 | 恶意代码的信道构建 | 基于指令和预设逻辑达成预设效用 |
| 辅助工具 | SBOM工具 | 开发编译器库工具 | 捆绑器 加壳器 |
Exploit生成工具 | 打包软件 宿主环境 解释器 |
反弹Shell生成器 | 被利用的其他合法软件 |
| 用户资产 | 系统运行程序的版本指纹等遭获取 | 用户系统和应用环境 | 浏览器 邮件客户端 提供公共访问服务的程序 |
系统程序/网络服务/文件数据等 | 系统执行入口 应用环境入口 可持久化位置 |
失陷业务系统 跳板 |
系统管理工具 提供数据存放能力的服务 …… |
（五）攻击活动中的执行体的运行与投放
从执行体视角来分析攻击（对象）行动，可以基于三个基本问题展开。
（1）攻击活动是否依赖执行体？可以明确的是，除了少数与网络空间相关，但实际上是在物理层面、通讯层面或认知层面的攻击以外，其他几乎所有网络空间的攻击都必然和执行体相关。
（2）攻击执行体在哪里运行？可以明确的是，多数网络攻击都依赖攻击执行体在目标场景运行为支撑。而在类似DDoS的攻击中，攻击执行体运行于攻击者自身的资源上，生成和发送网络数据，即所谓投放物。
（3）攻击者所使用的执行体如何到达被攻击目标场景？整体上看可以分成多种情况：
——攻击方投放完整的执行体到达目标场景进行运行（最普遍的情况）；
——攻击方投放的攻击载荷能实现目标场景已经存在的代码逻辑的聚合运用（例如ROP攻击）；
——攻击者通过供应链等方式预置攻击载荷而提前进入。
表7中梳理了一些与网络空间相关但不依赖投放执行体来实施攻击的作业方式，它们本身也需要攻击侧的执行体工具，或者其机理是造成被攻击侧执行体的异常。这些攻击有苛刻的依赖条件，往往只能攻击暴露面目标，而且难以实现攻击向纵深发展。
| 基础范式 | 攻击类型 | 典型案例 | 依赖条件 | 输入与投放 | 输出和反馈 | 致效机理 | 直接后果 |
|---|---|---|---|---|---|---|---|
| 物理对抗 | 物理窃取 | NIGHTWATCH（NSA）、拍照（水门事件） | 物理抵近 | 无 | 电子、电磁数据 | 物理信号捕获 | 信息泄露 |
| 信息对抗 | 侧信道攻击 | 录制GPG运行主机还原密钥 | 物理抵近 | 无 | 信号与能量 | 信息还原 | 信息泄露 |
| 物理对抗 | 物理窃取 | Facebook公司硬盘失窃 | 物理接触 | 物理移动 | 无 | 物理转移 | 设备丢失 |
| 物理对抗 | 物理接入 | 内鬼窃取数据事件 | 物理接入 | 存储接入 | 电子数据 | 数据拷贝 | 数据泄露 |
| 运行对抗 | 利用账户 | 近场作业 | 物理接触 | 外设操作 | 操作结果 | 基于本机账号权限操作 | 获得主机操作权 |
| 运行对抗 | 利用账户和服务 | 远程桌面、远程管理工具 | 远程连接 | 身份凭证与操作指令 | 屏幕终端显示 | 基于本机账号权限操作 | 获得主机操作权 |
| 运行对抗 | 拒绝服务 | OOBH SMBdie TearDrop |
协议可达 存在漏洞 |
数据包（特定构造的） | 无 | 承载系统和服务执行体 崩溃（可回复的） |
服务中断 |
| 运行对抗 | 拒绝服务 | TFN2K Flooder |
逻辑可达 | 数据包（海量的） | 无 | 处理数据和连接的执行体资源饱和（可逆的） | 网络服务中断 |
| 运行对抗 | 拒绝服务 | 包裹炸弹 | 存在递归解压应用 | 包裹（特定构造的） | 无 | 代码逻辑缺陷 | 计算资源占用 |
| 运行对抗 | 物理接触 | 橡皮鸭 | 物理接触 | USB设备接入 | 无 | 模拟输出、存储等设备 | 命令执行 |
| 运行对抗 | 漏洞攻击 | 心脏出血 | 对应服务开放 漏洞存在 逻辑可达 |
数据包 | 内存数据 | 承载服务执行体解析异常 | 数据泄露 |
| 认知对抗 | 网页钓鱼 | 钓鱼网站 | 逻辑可达 | 钓鱼链接 | 账号密码 | 社会工程学 | 账号丢失 |
| 认知对抗 | 社工欺骗 | 社工邮件 | 逻辑可达 | 社工对话 | 资料数据 | 社会工程学 | 数据丢失 |
表7不需要执行体投放的相关攻击作业方式梳理
（六）执行体在对攻击活动的完整支撑和自身生命周期
杀伤链模型是战术动作的时序和生命周期，而与其伴随的则是执行体武器的对象生命周期。
首先，执行体支撑了将攻击意图转化为运行逻辑的杀伤链全生命周期（如图4所示）。网络空间杀伤链模型将网络攻击过程概括为侦察跟踪、武器构建、载荷投递、漏洞利用、安装植入、命令控制、目标达成七个阶段。贯穿网络空间杀伤链全生命周期，各种攻击手段的展开与执行体的运用过程高度匹配，并最终促成“攻击执行体”在目标场景中的加载执行并达成致效作用。
图4 将攻击意图转化为运行逻辑的杀伤链全生命周期
其次，执行体支撑了绝大部分攻击战术和技术实施。将杀伤链的支撑体系在技术层面进一步展开，可以形成基于“网络空间威胁框架”的细化分解，从而构成详细的攻击作业在“战术－技术/子技术－过程”等多种层次与维度的分析结构。深入到杀伤链细化分解的具体攻击技术与实现层面，也可以看出，威胁框架所对应的绝大多数攻击技战术，都需要依赖执行体来完成（如图5所示）。通过对执行体效能和ATT&CK的235个技战术分析映射，发现仅有20个技战术不需要或涉及执行体来实现，其余的215个技战术均需要通过执行体来完成相应的动作。可以说，如果没有执行体的运用，就无法有效支撑现代网络环境条件下的复杂网空攻击行为。
进一步的，攻击执行体有自身的生命周期过程。安天安全研究与应急处理中心绘制了攻击执行体生命周期框架图谱，将其划定为研制构建、预置与投放、加载执行和致效运用的四阶段生命周期，并进一步拆解到10个细分阶段，枚举关联出32个支撑动作，111个具体技术（如图6所示）。
图5 攻击技战术与执行体的依赖关系
图6 执行体在网空杀伤链中的生命周期与技战术图谱
（七）运用执行体治理理念改善防御
对运行对抗、执行体、执行行为的梳理可以辅助重新思考网络空间中有效的布防点、防御逻辑和资源投入。
需要重新认识反恶意代码（反病毒）能力的基础价值，理解强制推进可执行文件和固件可信签名机制的重要性。从反病毒引擎到运行对象签名，其本质都是给防御者在构建防御阵地中，实现运行对象和运行环境的清晰化，建立敌我识别基础能力。
需要重新理解主机系统和工作负载一侧的防御价值，随着资产云化、泛在接入等带来的场景变化，传统内外网边界已经高度模糊。加密协议的普遍使用，削弱了网络侧感知能力。安全的防御基石正在重回主机系统和工作负载，安全边界正从内网细粒度到达每个资产之上。
将执行体作为防御场景中最重要的基础治理对象，引入执行体治理理念，可以将安全边界进一步细粒度收敛到系统环境中每一个执行对象上，从而真正实现防御边界的最小化。
（八）智能体、认知对抗和更遥远的未来
在人工智能加速演进的背景下，需要直面执行体向智能体的演进。执行体按照功能逻辑设计，由数据、配置和交互驱动，而智能体表现出了更高的自主性。当前承载人工智能运行的仍然是执行体，其构成和本质运行逻辑仍然没有脱离既有的运行体系。无论是执行体还是智能体都承载了代码逻辑和思维逻辑。基于一定的归一化视角，智能体是一种新型的“复合执行体”。以OpenAI的GPTs为代表，由大语言模型驱动的新型“复合执行体”不仅仅具备高质量的图文生成能力，更表现出了一定程度的自主决策能力，BabyGPT、AutoGPT、GenerativeAgents等实验性项目的相继出现，进一步加快了演进的速度。
如果将执行体和智能体完成一个大的逻辑结构递归，可以将Agent为代表的智能体分解为五个要素：模型、工具、记忆、规划能力和行动能力。其中模型当前以大语言模型为主干的多模态模型最为常见，对应冯٠诺依曼体系的运算器和控制器，记忆一部分存储在模型的权重中，一部分由检索增强生成系统或其他工具作为输入设备来提供补充到上下文的存储器中，进而由工具来执行或输出。如果按照冯٠诺依曼体系理解，智能体是一种具备一定自主性的执行体，大语言模型平台也正在提升软件开发和代码生产的效率和能力，提升了执行体的生产效率。
人工智能正在推动运行对抗进入到更高水平的自动化与智能化。包括提升攻击入口和信息情报的长期效力、增强攻击编排能力、增强恶意代码的辅助开发和免杀构造能力、增强构建高针对性的社会工程话术以欺骗网管人员及用户的能力、增强漏洞和脆弱性发现能力、对安全机制的规避能力、增加全过程攻击统筹能力等。
而人工智能带来更重大的变化就是认知对抗的加速推动。深度伪造用于电信诈骗、社会舆论干扰只是其中的序曲。其也将带来认知对抗和运行对抗的深度合流，将攻击点从人机运行体系中机的一侧上移到人的一侧，绕开面向运行对抗所有的防御点和联动机制，直接改变人的行为活动，直接攻击到人的基本认知和组织的运行流程。
在更遥远的未来，随着脑机接口技术的成熟，人类不仅能实现更高水平的大脑对物质工具的操控，也终将突破类似记忆下载、知识植入等梦想。而那时人脑也将成为直接链接在网络空间的特殊节点，并成为攻击活动直接可达的目标。
四、总结
本文从网络空间、物理空间、认知空间的关系与作用出发，对网络空间进行了解构，提出了运行对抗是网络空间对抗中的主流和独有范式，解析了运行对抗的规律和特点，以执行体对象作为出发点，梳理了运行对抗的基本逻辑。有些是工作经验的自我总结，有些是对各方成果的验证梳理，有些是对业界历史工作的共性提炼，但也包含对我们认为的落后惯性和错误认知的争鸣和批判。
网络空间对抗的革命性价值以及网络空间本身的高度复杂性，要求我们必须发挥历史的主动性，需要创新性理论与创造性实践来深刻理解复杂性与对抗的本质，分析价值的内涵与规律，探索有效的工作路径与实施机制。在坚持构建有效防御能力，持续对抗威胁行为体的工作中，探寻规律与真理，这同样是实践、认识、再实践、再认识的过程。在这个过程中，不应因迷雾摸索而茫然，更无需对新技术无端恐慌：因为几乎所有新技术都对攻防双向同时提供赋能机会。重要的是——只有被技术武装的敌人，没有作为敌人的技术，而技术的进步性终将更好地掌握在历史正义性的一边。