本文目录导读：
从检测到阻断的实战指南
目录导读
- 为什么内网攻击处置必须“快”——理解攻击者在内网的横向移动速度与危害
- 快速处置前的三个核心准备——资产清册、权限隔离、应急剧本
- 检测阶段的黄金30秒——如何利用异常流量/日志/进程锁定攻击源
- 阻断战术：从微隔离到断网的四级响应
- 事后根因分析与改进措施——避免同一攻击重演
- 常见问题问答——企业最关心的内网处置场景
为什么内网攻击处置必须“快”
内网攻击最致命的不是初始入侵,而是攻击者获得立足点后的横向扩散，根据权威安全机构的统计，攻击者在企业内网中的平均停留时间（“驻留时间”）已缩短至11天以内，而一旦开始横向移动，数小时内即可感染超过70%的未隔离主机，更可怕的是，勒索病毒在内网中加密文件的传播速度可达每3分钟一台主机。“快速处置”的目标是：在攻击者完成横向移动之前，将其遏制在初始感染区。
问：如果不能立即找到攻击源，应该先做什么？
答：先切断疑似受感染主机的网络连接（拉网线或禁用交换机端口），同时禁用自己的域管理员账号，防止凭据被滥用。
快速处置前的三个核心准备
在日常工作中就做好以下准备,才能让“快速”成为可能：
-
资产清册与网络拓扑图
没有资产清单，你连哪个IP是服务器、哪个是员工电脑都分不清，必须维护一份实时更新的、包含IP、MAC、操作系统、开放端口、所属业务系统的设备清单，建议使用资产扫描工具（如Nmap、LanSecS）每周扫描一次，并与CMDB联动。 -
权限隔离原则
实施最小权限策略：普通员工账号不得登录服务器，域管理员账号只能用于特定的管理工作站，启用“用户账号控制（UAC）”、“Windows防火墙默认出站拒绝”等技术措施。 -
应急剧本与演练
预先编写“内网攻击应急响应SOP”，包括：- 如何通知安全团队
- 如何锁定可疑IP
- 谁有权限拔网线/关端口
- 如何提取内存/硬盘取证镜像
每季度进行一次桌面推演或红蓝对抗演练，确保团队在真实攻击中不慌乱。
问：小公司没专职安全人员，怎么快速处置？
答：可以将安全托管给MSSP（安全服务提供商），但至少需要一名IT人员熟悉“观察-判断-切断”流程，并预先设置好“一键断网”脚本——当发现大量异常流量时，直接运行该脚本关闭核心交换机上的对应端口。
检测阶段的黄金30秒
在发现内网攻击后,前30秒往往决定了能否将损失控制在最小范围，以下是快速检测的三个关键步骤：
-
仪表盘异常警报
使用SIEM（如Splunk、ELK）或EDR（如CrowdStrike、SentinelOne）设置规则：- 同一IP短时间内连接超过20台其他主机 → 横向移动
- 域内账号尝试登录失败超过5次 → 密码喷洒
- 非业务时段大量文件加密/改名 → 勒索病毒
-
手动核实技巧
若没有高级工具，可登录核心交换机运行以下命令：show ip traffic | include high # 查看异常高流量端口 show mac-address-table | include [可疑MAC] # 追踪设备位置
检查Windows事件日志中的ID 4625（登录失败）、ID 4688（进程创建）等关键条目。
-
受害范围快速界定
不要只盯着一个告警点，而是通过“IOA（攻击指标）”模式倒查：- 攻击源IP → 横向扫描的其他IP
- 攻击者使用的工具（如Mimikatz、Cobalt Strike） → 影响的进程ID
- 被修改的注册表项 → 持久化后门
问：检测到攻击但找不到攻击源，怎么办？
答：优先阻断所有可疑的横向流量——比如在防火墙上创建临时规则：只允许白名单IP之间的通信，其余一律丢弃，不要等待完全确定再行动。
阻断战术：从微隔离到断网的四级响应
根据攻击的严重程度,采用不同级别的阻断策略：
| 级别 | 适用场景 | 具体操作 | 工具示例 |
|---|---|---|---|
| 一级 | 疑似误报或轻度扫描 | 禁用受感染主机上的可疑进程，并断开该主机的网络连接（拔网线或关闭交换机端口） | Windows任务管理器、交换机CLI |
| 二级 | 确定有少量主机被感染 | 在防火墙上创建“黑名单”阻断攻击源IP，同时在EDR上隔离所有受害主机（禁止它们与其他主机通信，只允许外联至安全服务器） | iptables、Windows Defender Firewall、EDR隔离 |
| 三级 | 横向移动已扩散至数十台主机 | 关闭核心交换机上所有与受感染子网相关的VLAN或Segment，同时启用“终端隔离”策略——所有主机只允许与域控、DNS、WSUS等必要服务通信 | SDN控制器、微隔离网关（如VMware NSX、山石网科微隔离） |
| 四级 | 全网勒索病毒爆发或核心数据正在外泄 | 物理断网——立即拔掉核心路由器或Internet出口的光纤，并强制所有员工切断网络连接（若无法物理操作，可发布紧急公告要求每人手动禁用网卡） | 智能PDU、远程KVM |
关键提醒：在阻断后不要立即恢复网络，先进行“根因排除”——否则攻击者可能通过其他通道重新进入。
事后根因分析与改进措施
快速处置不是终点,而是改进的起点，遵循“三不放过”原则：
-
补丁与配置加固
确认攻击是否利用了已知漏洞（如Log4j、EternalBlue），若有，立即对所有受影响设备打补丁，并开启自动更新。 -
凭据重置
所有被横向移动接触过的账号（包括域管理员、服务账号）必须重置密码，并启用MFA（多因素认证）。 -
基线检查
检查所有主机是否关闭了不必要的端口（如445、3389、22），是否启用了审计日志记录，是否开启了Windows Defender或类似防病毒软件。
问：为什么事后还要查DLL注入或Plan9文件？
答：攻击者可能留下“备用通道”，如计划任务、WMI订阅、后门DLL，如果只清理了文件而不清理持久化机制，一周后攻击可能再次出现，因此务必使用Autoruns、Process Explorer等工具扫描所有启动项。
常见问题问答
| 问题 | 回答 |
|---|---|
| 问：没有EDR/SIEM，怎么快速发现内网攻击？ | 答：手动打开每台核心服务器的事件查看器，过滤ID 4625（登录失败），同时使用“netstat -an”查看异常连接，再用Wireshark抓取可疑流量中的“SMB洪水”或“RDP暴力破解”特征。 |
| 问：切断网络后，如何继续调查？ | 答：通过带外管理（如IPMI、iDRAC、交换机管理口）连接受害主机，将内存和硬盘的取证镜像保存至安全隔离的存储设备，然后离线分析。 |
| 问：攻击者在内网中伪造了IP（ARP欺骗），怎么定位？ | 答：登录接入交换机，查看MAC地址表，若多个IP对应同一个MAC，说明该设备是ARP攻击源，然后顺着该端口找到物理位置，拔线。 |
| 问：中毒主机太多，无法逐台拔网线，有什么批量方案？ | 答：使用GPO（组策略对象）下发一个脚本：在每台主机上运行“netsh advfirewall set allprofiles state on”强制开启防火墙，并只放行域控IP和DNS。 |
内网攻击处置的本质是一场与攻击者的“速度竞赛”，通过做好日常的资产梳理、权限隔离和应急演练，你可以在攻击发生后的“黄金30秒”内锁定源，并在“3分钟”内完成阻断。永远不要追求完全消除误报而延误处置——宁可误断一只羔羊，不让一头狼跑遍羊群。
