本文目录导读：
- 攻防不对等：过于依赖“边界防御”，忽视“内部横向移动”的阻断
- 检测能力不足：“告警洪水”掩盖了真正的“攻击信号”
- 暴露面管理失控：影子资产与僵尸系统成“后门”
- 人员与流程短板：“人”是最大的漏洞，且应急响应机制僵化
- 对抗高频打法的“特定短板”
- 如果要提炼成一句总结话术
网络安全复盘中的“技战术短板”通常不是指某个单一漏洞，而是指防御体系在对抗真实攻击时暴露出的系统性、结构性问题。
如果从攻防对抗（特别是HW行动、红蓝对抗）的角度来复盘,技战术短板主要集中在以下五个维度：
攻防不对等：过于依赖“边界防御”，忽视“内部横向移动”的阻断
- 短板表现：很多单位把90%的预算投入到防火墙、WAF（Web应用防火墙）和IPS（入侵防御系统）上,认为挡住外网攻击就万事大吉。
- 复盘痛点：攻击队一旦通过钓鱼、0day或弱口令突破边界，进入内网后，发现内网“裸奔”。
- 缺乏微隔离：服务器之间、业务区之间无访问控制，攻击者可以轻易地“一台沦陷，全网沦陷”。
- 缺乏东西向流量检测：大量安全设备只监控南北向流量，无法发现内网主机之间的恶意探测、密码喷洒和横向移动行为。
- 核心教训：纵深防御体系有断层——南北向严，东西向松。
检测能力不足：“告警洪水”掩盖了真正的“攻击信号”
- 短板表现：SIEM（安全信息和事件管理）或态势感知平台每天产生几十万条告警，但告警质量极低。
- 复盘痛点：真正的攻击行为（如恶意C2（命令与控制服务器）回连、敏感数据批量外传）往往淹没在海量的误报中。
- 缺乏关联分析：单一看某条日志是正常的，但无法将“凌晨3点”、“域管账号”、“非工作目录执行PowerShell”、“外联异常IP”这4个孤立事件串联起来形成一条攻击链。
- 响应滞后：告警需要人工研判，等分析人员确认是攻击时,攻击者早已完成数据窃取。
- 核心教训：“看得见”不等于“看得懂”，SOAR（安全编排自动化与响应）和UEBA（用户与实体行为分析）的落地效果不足。
暴露面管理失控：影子资产与僵尸系统成“后门”
- 短板表现：安全部门掌握的资产清单与运维部门、开发部门的实际资产清单不一致。
- 复盘痛点：攻击队最擅长利用“影子资产”作为跳板。
- 老系统漏洞：某个已经无人维护的测试系统、边缘业务系统，仍在连入核心网络，且存在远古高危漏洞（如Struts2、反序列化）。
- API与端口暴露：运维人员为了方便，将数据库端口（如3306、6379）或管理后台（如phpMyAdmin）直接暴露在公网或未加白名单。
- 核心教训：不知道自己有什么，就无法保护什么，资产测绘和全生命周期管理是防线的根基,而非附属品。
人员与流程短板：“人”是最大的漏洞，且应急响应机制僵化
- 短板表现：安全人员的技能树偏重“合规”而非“攻防”,应急响应流程停留在纸质预案。
- 复盘痛点：
- 社工与口令复用：攻击队利用钓鱼邮件或撞库获得普通员工账号,而该员工账号具有外网VPN权限。
- 权限过度授权：普通开发人员拥有测试库甚至生产库的DBA（数据库管理员）权限。
- 应急响应混乱：被攻击后，第一反应是“杀进程、拔网线”，导致攻击痕迹丢失，无法溯源。变更是“防控”优先于“取证”,最终无法确定攻击者的完整路径。
- 核心教训：技术问题最后往往归结于管理问题，特权账号管理（PAM）和“零信任”的动态授权机制没有落实。
对抗高频打法的“特定短板”
在近期的复盘中,以下三种攻击手法的防御短板尤其突出：
- 针对供应链与API的攻击：防守方把重点放在自有网站上，却忽视了第三方外包人员、合作方SaaS软件、以及自己开放的API接口上的越权漏洞。
- 钓鱼与勒索结合：攻击手法不再“重装炸弹”，而是“轻装潜入”，防御端缺乏针对邮件网关的高级垃圾邮件过滤，以及对终端EDR（端点检测与响应）的勒索行为回滚能力。
- 域控失陷：一旦攻击者拿到域管权限，往往因为缺少基于时间的双因子认证（MFA）或金票/银票攻击防护,导致整个域在短时间内被连根拔起。
如果要提炼成一句总结话术
“在复盘中最常出现的技术短板，是‘点’的防御做得很足，但‘线’（攻击链）和‘面’（资产全景）的防御存在巨大盲区，硬防的边界太硬，而对内部东西向流量、身份与信任的‘软防’太软。”
后续改进建议（针对上述短板）：
- 做“收敛”：关停多余端口，收敛暴露面，降权（取消共用账号，清理后台），在漏洞挖掘上多做“免杀对抗”练习。
- 做“可视化”：引入欺骗防御（蜜罐/蜜网），在攻击链路上放置诱饵，让攻击者“伸手必被抓”。
- 做“预案”：不要只演练“如何防住”，要演练“假设被打穿后，如何在30分钟内阻断横向移动”的保底预案。
