内网攻击如何快速处置

本文目录导读：

1. 第一阶段：紧急隔离（黄金5分钟）
2. 第二阶段：遏制扩散（黄金30分钟）
3. 第三阶段：清理与加固（黄金2小时）
4. 第四阶段：恢复与复盘
5. 关键原则与防坑指南
6. 总结一句话

针对内网攻击的快速处置,核心在于第一时间切断扩散路径、遏制损害扩大、保留证据，常规的“拔网线”虽然简单粗暴，但可能造成业务中断或证据丢失。

以下是标准、高效的处置流程，建议按顺序执行：

第一阶段：紧急隔离（黄金5分钟）

目标：阻止攻击者横向移动和数据外泄。

1. 断网/隔离受感染设备：

   • 硬件断网：通知相关人员拔掉被感染主机的网线，这是最可靠的方法。
   • 交换机端口隔离：在核心或接入交换机上，将受感染主机的端口 shutdown。
   • 禁用网卡：如果无法物理接触，在域控/管理平台远程禁用该设备的网络适配器。

2. 阻断可疑账户与连接：

   • 禁用账户：立即禁用被攻陷的用户账号或已被破坏的服务账号（如本地管理员）。
   • 断开远程连接：检查防火墙/VPN/远程桌面（RDP），切断攻击者正在使用的连接或源IP（注意：攻击者可能使用跳板机，需回溯源头）。

3. 备份关键“易失性证据”：

   • 内存快照：如果条件允许（或时间极短），使用工具（如FTK Imager或系统自带工具）保存转储文件，内存中包含进程、网络连接、加密密钥等核心信息。
   • 网络连接快照：在断网前迅速执行 netstat -ano > before_disconnect.txt，并截取任务管理器截图。
   • 推荐做法：先断网，再取证，安全比取证更重要。

第二阶段：遏制扩散（黄金30分钟）

目标：确认攻击范围，防止第二次扩散。

1. 攻击溯源与范围确认：

   • 查看日志：检查受感染主机的安全日志（Event ID 4625登录失败、4624登录成功）、系统日志和防火墙日志。
   • 查询关键文件：在受感染设备上查找可疑的启动项、计划任务、服务或未知脚本文件。
   • 扫描“同网段”：利用内部漏洞扫描工具（如Nmap扫描常见高危端口，但需谨慎）快速检查同网段内的主机是否存在类似漏洞。

2. 修改全局口令：

   • 立即重置：强制所有用户（特别是管理员、域管理员）修改密码。
   • 密码策略：要求使用强密码且不与之前密码相似。不建议大规模立即重置普通员工密码（容易导致业务混乱），优先重置核心系统和管理账户。

3. 封禁潜在C2（命令与控制）：

   • 在防火墙上,对受感染主机访问的可疑外网IP/域名进行封禁。
   • 在DNS服务器上,将已知恶意域名解析到本地环路地址（127.0.0.1）。

第三阶段：清理与加固（黄金2小时）

目标：彻底清除后门，修复漏洞。

1. 杀毒与专杀工具：

   • 使用最新的杀毒软件（如360、火绒、卡巴斯基等）全盘扫描。
   • 针对特定攻击类型（如勒索病毒、挖矿病毒），使用厂商的专杀工具。

2. 还原系统：

   • 最佳实践：重装操作系统，攻击者可能替换了系统核心文件（Rootkit），如果系统被深度控制，杀毒软件很可能扫不干净。
   • 次选方案：从干净的备份恢复，恢复前，需确认备份时间点未被感染（通常选择攻击发生前1-2天的备份）。

3. 修补漏洞：

   • 立即修补被利用的漏洞,常见的包括：
     • 弱口令（如admin/123456）
     • 未修补的高危漏洞（如Log4j、永恒之蓝等）
     • 未授权的RDP开放
     • 未验证的Web应用漏洞（如SQL注入、文件上传）

第四阶段：恢复与复盘

目标：恢复业务，总结经验。

1. 分段恢复业务：

   • 先恢复非关键业务（如OA、邮件）观察半天，确认无异常后再恢复核心业务（如数据库、ERP）。
   • 恢复过程中保持监控，重点观察DNS查询、出站流量和异常进程。

2. 专项监控：

   在安全设备（如SOC、IDS/IPS、EDR）上建立针对攻击者手法（如横向移动的SMB暴破、PTH传递哈希）的告警规则。

3. 输出报告与改进：

   • 事件摘要：攻击时间、入口点、造成的影响。
   • 根因分析：是因为弱口令？还是系统未打补丁？还是钓鱼邮件？
   • 改进清单：
     • 是否所有设备都安装了终端安全软件？
     • 内网是否有补丁管理系统？
     • 零信任架构是否到位？（如最小权限、多因素认证）
     • 日志集中管理（如Splunk/ELK）是否开启？日志保留期有多长？

关键原则与防坑指南

1. “先保业务，还是先保安全？” → 先快速隔离，再恢复业务，如果任由感染扩散，最终会全盘瘫痪，导致更大损失。
2. “我该不该拔网线？” → 拔！ 但是要分级拔：优先拔疑似核心受害设备，再拔同网段相邻设备，最后考虑影响最小的VLAN隔离。
3. “我该不该通知老板？” → 应该通知，但这需要技巧：先说明“发现可疑活动，正在进行应急隔离”，而不是“系统被攻陷了”，结果导向更容易被接受。
4. “是否应该立即联系公安/网安？” → 如果涉及关键信息基础设施（如政府、金融、医疗）、勒索病毒或数据泄露，法律规定要求2小时内报告，若只是普通挖矿、弱口令入侵，通常先内部处置，再根据情况决定。
5. “没有备份怎么办？” → 这是最差的情况，如果已被勒索，不要支付赎金（支付后仍可能丢失数据且助长犯罪），唯一的办法是联系专业数据恢复公司（如针对勒索病毒的解密工具）或重新搭建系统。

总结一句话

“先断网、再上线、后加固”，快速隔离受感染设备是遏制内网攻击最有效、最不容易犯错的核心手段，不要犹豫，先切断其与内网的物理连接。