攻防演练蓝队实战指南：监测、研判与应急溯源

1. 监测策略与告警优化

1.1 告警规则调优原则

• 可忽略告警类型：

  • 僵尸网络、木马、蠕虫、C2远控类常规告警
  • 挖矿病毒类告警（视时间资源决定是否处置）

• 重点监测对象：

  • Web层攻击（高优先级）：

    • SQL注入攻击（成功案例）
    • 命令执行漏洞（成功利用）
    • 文件上传漏洞（中高危且成功）
    • 各类高危CVE漏洞（成功利用）

  • Webshell活动：

    • 单独设置检测规则
    • 注意设备可能仅显示"尝试"而非"成功"
    • 需结合流量上下文分析：
      • 命令执行特征
      • 响应体内容
      • 固定路径的持续访问频率

1.2 特殊威胁检测

• 内存马特征：

  • 持续告警显示攻击成功
  • 访问路径不固定
  • 响应体无内容
  • 排查方法：
    • 检查服务器error.log
    • 使用专用扫描脚本

• 网络隧道检测：

  • 对frp、fscan等工具单独设置检测规则
  • 注意网络拓扑复杂性可能导致传统判断方法失效

2. 攻击研判方法论

2.1 研判三要素

1. 流量上下文分析：完整还原攻击链条
2. 手工验证：实际测试漏洞存在性
3. 攻击频率统计：高频攻击更可能成功

2.2 典型案例分析

• Webshell攻击研判：

  • 示例特征：
    • 访问特定路径执行命令
    • 存在webshell上传行为
  • 判定依据：
    • 命令执行流量
    • 固定的webshell访问路径
    • 持续的活动模式

• Nacos授权绕过漏洞(CVE-2021-29442)：

  • 原始告警分析
  • 流量原文确认攻击成功
  • 特殊注意事项：
    • 魔改版冰蝎马需特别关注
    • 路径随机化可能是内存马特征

2.3 未授权访问漏洞验证

• Redis未授权验证：

  redis-cli -p [端口] -h [受害者IP]
  

• 通用验证原则：

  • 直接访问目标路径测试
  • 即使本地验证失败也不应直接判定为误报
  • 多环境交叉验证：
    • 不同网络拓扑环境测试
    • 高频率告警(如20000+)需高度重视

3. 应急响应与溯源

3.1 应急响应要点

• 团队协作：

  • 明确分工避免重复工作
  • 建立高效沟通机制

• 时效性要求：

  • 快速产出初步分析报告
  • 分阶段输出详细信息

3.2 溯源调查重点

1. 攻击路径还原：

   • 完整攻击链分析
   • 入侵入口点定位

2. 持久化机制排查：

   • 计划任务
   • 启动项
   • 隐藏账户

3. 横向移动痕迹：

   • 内网扫描记录
   • 凭证窃取行为
   • 跳板机使用情况

4. 实战注意事项

4.1 网络拓扑复杂性应对

• 传统内/外网判断方法可能失效
• 需建立立体防御视角
• 跨区域协作验证机制

4.2 告警处理优先级

1. 已确认的攻击成功事件
2. 高频攻击尝试
3. 新型攻击手法
4. 常规扫描行为

4.3 文档记录规范

• 完整记录研判过程
• 保存原始证据(PCAP、日志等)
• 标准化报告格式

附录：常用命令速查

1. Redis未授权验证：

   redis-cli -p 6379 -h [目标IP]
   

2. Webshell排查：

   grep -rn "eval(" /var/www/html/
   find /var/www/html/ -name "*.php" -mtime -1
   

3. 内存马检测：

   java -jar MemoryShellScanner.jar -p [PID]
   

4. 异常连接检查：

   netstat -antp | grep ESTABLISHED
   ss -tulnp