★ FEATURED ARTICLE 第一次参加护网行动我是蓝队值守新手。凌晨三点值守群里弹出一条高危告警我盯着“外联IP命中威胁情报”几个字心跳加速脑子却在打结这是真攻击还是正常业务请求如果真是攻击接下来先断网还是先取证以现在的心态回头看那晚的慌乱根本原因不是技术差而是脑子里没有一条完整的处置链路。护网行动说白了就是组织安全攻防双方在接近真实的业务环境里做极限压力测试红队负责想尽办法突破目标防线蓝队负责守住阵地、发现攻击紫队负责验证、复盘和推进修复。这篇文章不打算讲高深理论而是把参与护网行动全流程时最实用的分工逻辑、应急处置方法以及新手从零参加的具体路径完整整理出来。不管你是第一次上手值守还是想从红队视角理解对手都可以直接拿这份思路去用。1. 护网行动的本质红蓝紫队不只是“攻与防”这么简单很多人对护网行动的理解停留在“红队攻击、蓝队防守”的二元框架里。但真正打过高强度对抗的人会明白只有攻防两端很多问题是暴露不出来的。红队赢了蓝队不知道输在哪表面上的修补只是把入口堵住下一轮攻击换个姿势又进来了。蓝队发现了攻击红队如果不清楚自己的动作被哪个环节识别后续的进攻质量也会大打折扣。紫队的存在就是为了解决这个“攻防信息不对称”。1.1 为什么需要红队、蓝队、紫队同时存在先说说三支队伍的核心定位。红队的任务很直接在授权范围内尽可能真实地模拟外部威胁者的攻击行为找到真实环境里的可利用漏洞拿到目标系统的权限。蓝队的任务相反它是防守方负责监测、识别、阻断、处置所有攻击行为同时保证正常业务的连续性。紫队则是中间的协调和验证者它不负责具体攻击也不直接值守屏幕而是把攻防两边的信息和动作拉通确认一件事件到底算不算漏洞、算不算失陷、修复动作有没有真正生效。为什么非要有紫队我举个真实发生过的情况。红队前期发现某个低版本中间件存在已知漏洞尝试利用后发现能稳定写入后门文件红队就上报说“目标已失陷”。蓝队第一时间看日志却发现线上版本早已升级补丁也打上了红队写入的文件实际落在备份目录且很快被清理。这种情况下如果没有紫队在中间把两边拉到一起复现红队会误判自己的战果蓝队也搞不清楚漏洞的真实危害等级。紫队组织双方复现后确认真正的问题是灰度环境没有纳入监控立即推动修复和验证。这就是三队并行存在的意义红队负责把“可能的问题”翻出来蓝队负责把“实际防线”讲清楚紫队负责让每一份攻防记录沉淀成可执行的整改项。1.2 三队的真实工作节奏与协作关系实际参与下来三队的节奏完全不一样。红队在赛前会花大量时间做情报收集把目标在互联网上暴露的资产、系统、人员信息摸清楚比赛开始时进入高强度的攻击循环一个点打不动就换思路打另一个点节奏非常快。蓝队则是从赛前准备到赛后复盘全程在线比赛期间往往三班倒连续值守需要长时间保持注意力处理大量看起来重复又零碎的告警。紫队更像胶水角色每天组织复盘会议、收集攻防双方记录、整理问题清单并持续跟踪漏洞修复到关闭的整个过程。三队之间有几个非常明确的协作节点我把它们整理成了表格方便理解阶段红队主要动作蓝队主要动作紫队主要动作赛前收集目标资产与指纹信息制定攻击计划完成资产台账、收敛暴露面、配置监控规则确认攻防授权边界统一报告格式与评分标准赛中探测漏洞、尝试利用、维持权限、扩大战果持续值守、研判告警、应急处置、上报事件登记红队上报点组织双方复现推动紧急修复赛后输出攻击过程报告、提交全部利用点输出防守记录、事件处置报告、修复完成清单组织全量复盘形成问题、整改、验证三张清单这个表看起来简单但每一条背后都有实际教训。尤其是“统一报告格式”这条第一次参与时我所在的队伍吃了不少亏红队交上来的漏洞描述写得很技术蓝队记录的事件却用的是业务语言两边对不上导致紫队做复现时反复拉扯。后来我们把报告结构统一成“时间、目标资产、动作、现象、影响范围、建议”立刻顺畅很多。2. 红队的攻击链路与蓝队防守体系赛前准备才是胜负手护网行动真正决定成败的时间点往往不在开赛之后而在开赛之前的准备阶段。红队和蓝队都需要提前把所有基础工作做完赛中拼的只是执行力和临场反应。很多新手问我红队到底怎么打蓝队到底守什么我习惯把两边拆开讲清楚因为只有互相理解对手才能真正做好自己的事。2.1 红队的标准攻击流程与常用切入点红队打一个目标基本不会一上来就硬撞。第一步是信息收集把目标在互联网上暴露的资产全部摸出来包括域名、IP段、应用指纹、后台路径、可能关联的其他系统只要是和目标单位沾边的信息都在收集范围之内。这一步我不展开讲太细但结论必须说透对蓝队来说暴露在外的无关系统越多被突破的概率就越高。第二步是漏洞探测与利用针对收集到的资产做扫描和人工验证。这一步最考验耐心很多队伍是在大量资产里寻找一个低门槛入口比如某个不再维护的老旧应用、某个没有做访问控制的接口。真正进入内网时红队会先拿到一台主机的权限然后通过提权、建立持久化控制通道、窃取凭据逐步向核心区域移动。防守方一定要理解这条链路攻击不是一蹴而就的而是在信息收集、漏洞探测、利用、横向移动的每个环节都有机会被发现。蓝队真正要防的不是“最终一击”而是攻击链路上任何一个被忽视的中间节点。2.2 蓝队的监控告警体系建设与值守工作台蓝队防守最核心的诉求是“能看见”。看见的前提是数据源齐全流量侧要有全流量或镜像流量日志侧要有服务器登录、中间件访问、数据库操作日志终端侧要有进程启动、计划任务、端口监听检测。只有把这些数据在统一平台里汇合才能做到关联分析而不是各看各的碎片。值守工作台怎么搭也是有讲究的。我带过的新人总喜欢盯着一个单独的检测平台反复看等发现问题的时候系统往往已经被控制很久了。正确的做法是把流量检测、应用防护告警、终端事件、日志审计几个信息源集中到同一张视图里同时准备一份处置台账模板每条告警都记录时间、来源IP、目标资产、危险等级、处置动作、交接备注。值班排班也很重要三班倒是最基本的组织方式每班至少选一个人做研判组长避免每台电脑前的人都在凭感觉判断。2.3 我整理的攻防准备清单趁着没开赛我给负责防守的团队整理过一份相对通用的准备清单这里分享出来第一资产台账必须完整。重点标注面向互联网的系统这是最先可能失守的地方。连自己有哪些资产都说不清监控规则根本没办法配全。第二收敛暴露面。停止运行无人维护的老旧服务能被外部访问的端口越少防守压力越轻。赛前收缩一个无关端口往往比赛中处理十起告警更有效。第三备份与恢复演练。确保重点系统的备份可用并且做过一次真实的恢复验证。应急处置时最怕的就是系统被破坏了结果备份也恢复不起来。第四值守排班和流程演练。把所有角色拉出来练一轮让蓝队成员从接到告警到上报、封堵、记录完整走一遍流程。演练中暴露的问题比正式开赛后的慌乱要可爱得多。第五提前配置外联白名单。把正常业务访问、第三方对接、运维跳转的合法外联地址搞清楚赛中的告警研判能少一大半工作量。这套清单看起来很普通但每条都是踩过坑之后才补上的。比如“备份恢复演练”我见过某次应急时主机被加密等想恢复备份才发现备份任务已经断了一个月那个场面真的让人后背发凉。护网行动的价值之一就是把这些平时没人注意的短板提前逼出来。3. 应急处置全流程从收到告警到完成复盘的一条完整链路应急处置是护网行动中蓝队最重要的技能也是最容易被新手搞混的部分。很多人以为应急就是“封IP、删文件、断网”但如果处置顺序错了轻则丢掉关键证据重则让正常业务跟着遭殃。我按实际处置的时间顺序把整个过程拆成三个阶段来讲。3.1 前15分钟快速研判与风险定级应急处置最紧张的阶段不是后段而是前15分钟。我参与过多次值守后反复验证过一条原则后续的处置动作是否正确几乎取决于最初的判断是否准确。看到一条告警先别急着封禁先问三个问题这个告警涉及的资产有多重要攻击行为是否已经成功落地影响范围是单点还是正在扩散根据答案把事件分成四个等级低、中、高、紧急。低风险告警走观察流程核实后记录即可中等风险告警需要重点关注确定是否需要人工干预高风险告警要立即启动封堵动作并通知业务方评估影响紧急情况则直接切断边界连接优先保住核心业务系统。我见过很多新人一上来就把所有告警都当成紧急事件处理封禁动作频繁反而打断了正常业务最后被业务方投诉。风险定级不是保守是让有限的处置资源用在真正关键的地方。3.2 封堵、取证与排查处置动作的优先级应急处置的标准顺序我总结成一句话先遏制扩散再保留证据最后做修复加固。很多人容易把顺序搞反一上来就清理可疑文件结果把原始证据抹掉了后期想溯源也无从下手。正确的顺序分三步。第一步在边界或主机侧做封阻比如对攻击源IP做封禁、断开受影响主机的网络连接同时通知业务方评估影响判断这台主机能不能直接断电、会不会影响关键业务。第二步保留原始日志和数据包把可疑文件单独保存并记录哈希值必要时对受影响系统做快照。第三步回溯排查攻击链确认攻击者是否还控制了其他主机有没有留下额外的持久化手段。这里有个非常实用的心得整个处置过程每一步都必须用文字留下记录。值守协调群里最忌讳的就是东一句西一句各人说各人看到的碎片最后复盘时拼不出完整时间线。我习惯用一个固定格式的处置单上面列好时间和动作栏每次操作完就填一行。这样即使中途换班下一班的人拿过来就能接着看。3.3 溯源与复盘找到“为什么被打进来”复盘是很多新人不重视却非常关键的环节。溯源要回答的问题不是“哪个IP攻击了我们”而是“攻击者通过什么路径、什么漏洞、哪台主机最终抵达了目标系统”。具体做法是先把告警时间点定位出来然后逆向追踪每一步访问记录从目标系统上看到的登录日志、到中间跳板机的连接日志、再到最外层攻击源的探测记录把所有关联条目按时间排序攻击路径就自然浮现了。复盘会则建议围绕三张清单展开问题清单、整改清单、验证清单。问题清单记录这次事件暴露出来的短板比如某个系统没有补丁、某个端口不该对外开放、某条日志没有接入平台整改清单给出每个问题的修复方案和负责人验证清单交给红队成员请他们在下一轮尝试重新打通这条路径确认修复真的有效。没有落到三张清单上的复盘只是走形式。一次事件如果不能在三天内形成闭环那下次大概率还会以相似方式再发生一次。4. 新手参与护网行动从准备到实战的完整攻略每次护网行动开始前总有不少人问“我是新手能不能参加”“参加的话该做什么准备”。我的答案一直是肯定的但前提是做好选择、做足准备。护网行动不是一个看热闹的地方新手只要找准自己的位置完全可以贡献价值甚至拿到比日常工作中更快的成长。4.1 先认清自己适合哪个岗位新手参与护网行动最忌讳眼高手低上来就报名当红队主攻手几乎是不可能的蓝队值守才是大多数人的入口。但蓝队内部也可以继续拆分我根据自己的带教经验整理了一个简单的岗位匹配思路你平时擅长的事适合的岗位主要工作内容会看Linux日志、能跑命令行、懂基础系统排查日志分析检查登录记录、进程行为、计划任务变更用过抓包工具、懂TCP/IP基础协议流量分析观察异常流量特征、定位外联行为和攻击源会写简单脚本、理解正则表达式检测规则维护优化告警规则、减少误报、补充遗漏场景文档能力强、细致有条理应急台账与情报整理管理处置记录、汇总报告、跟踪整改进度小提示如果你连上面的方向都还没有明确积累那就从“应急台账与情报整理”开始它同样是值守环节里不可缺少的一环而且能让你在很短的时间内看到大量真实事件的处理过程对后续成长非常有帮助。4.2 备赛期要做的事不要把第一次参与的紧张留到开赛那一刻。以我个人的经验至少要提前两周完成四件事第一熟悉值守平台的基本操作。很多防守平台在赛前会开放演练环境把常见模块挨个点一遍知道告警列表在哪里、详情页能看到哪些字段、封禁按钮在哪个位置能帮你节省大量慌乱中的时间。第二搭建一个本地靶场环境自己模拟攻击和排查。不需要多复杂一台虚拟机装一个存在已知漏洞的Web应用自己手动打一次再手动排查一次。这个过程能让你把“攻击视角”和“防守视角”串起来。第三把高频命令和处置流程写在小本上贴在电脑旁。真到值守时精神高度紧张背诵过的命令也不一定能瞬时想起来翻小本要比翻搜索引擎快得多。第四找上一届参与的同事或朋友把可能遇到的告警类型提前过一遍。哪些是常见的业务误报哪些是典型攻击特征心里有个数上场就不会一点底都没有。不需要在这两周内把所有安全知识都学一遍这不现实也没有必要。新手的核心任务是把自己的基本功练到“不需要思考就能操作”的程度。4.3 上场值守时保护自己与完成任务的方法作为新手第一次上场最重要的不是立功而是不添乱。我给自己参与值守的队员定了三条规矩生产系统只读操作。不做任何未经确认的修改动作看到可疑文件、可疑进程先记录、上报、讨论再决定要不要清理。观察到的信息先记录后上报。汇报时按“时间、现象、影响范围、建议动作”四要素讲清楚。含糊的“好像有点问题”在值守环境里是最没有价值的信息。交班时用文字留痕。把自己的处置记录逐条交代给下一班不依赖口头描述。口头说漏一句可能就丢掉一条关键线索。这三条规矩看起来简单实际能拦住绝大多数因手忙脚乱引发的二次事故。我见过不止一次有人看到疑似攻击就急着封IP结果封了业务方的出口地址造成大面积访问异常比攻击本身造成的损失还大。新手在值守环境里永远要把“判断”放在“动作”前面。5. 多次参与后我总结的实战经验与常见避坑点参与多了之后我越来越觉得护网行动表面上考的是技术实际上考的是对细节的敏感度和对流程的执行力。这一章聊几个我反复踩过的坑和总结出来的信号希望后来的参与者少走弯路。5.1 最容易忽略的几类告警有几类告警我见过太多次被忽略它们看起来不痛不痒实际暗藏风险。第一类是低频登录失败告警。单个IP试了几次密码没成功看起来像普通误操作但如果失败时间集中在凌晨、账号名称规律明显这往往是撞库攻击的前奏。第二类是内网主机之间的异常访问。大部分人习惯把注意力放在边界入口但多数横向攻击动作恰恰藏在内网东西向流量里没有对应的业务白名单背书就该重点排查。第三类是过了零点后出现的计划任务或服务注册事件这类变更如果没有对应的运维工单无脑信任很容易翻车。低风险不代表无风险。我自己的处理习惯是把低危告警积累成统计看板关注它在时间轴上的变化趋势。单次低危告警可能确实无关紧要但如果同一来源IP的同类低危告警在短时间内持续上升就值得把它升级成重点关注对象。5.2 判断“被打穿”的几个信号在新手阶段大家最喜欢问的问题是“怎么才知道红队真的打进来了”。我自己在实际值守中主要依赖一组关联信号来判断而不是单独看某一条告警主机侧是否出现新用户在非工作时间登录、新增计划任务、陌生进程白名单外运行以及外联目标是否命中威胁情报。账号侧是否有账号在异常时间登录登录来源IP是否高度集中关联到的主机数量是否异常增多。流量侧是否有规律性的加密外联出现或长时间空闲的主机突然产生大量上行流量。这些信号单个看都可能误报但放在一起就能拼出攻击是否真正落地的判断。比如一台长期低负载的数据库主机凌晨两点出现稳定频率的外联流量同时日志里多了一个新账号登录成功记录这两件事单独看都不算铁证放在一起就足够启动上一条讲的应急处置流程。5.3 技术之外的几点体会参与这类演练技术能力只是地基更影响成败的是沟通和信息管理。我看到过很多人明明发现了真实问题却因为汇报材料写得像流水账组长没能抓住关键信息也有人因为紧张在没有确认的情况下直接点了封禁按钮把正常业务切断了。技术之外的习惯反而成了决定一次演练体验的上限。我自己会在每次行动前准备一个固定的记录模板把观察时间、现象、关联资产、处置建议都放在固定格式里只需要填内容。这样做既能节约时间也能避免遗漏。平时训练的时候我会刻意模拟深夜收到告警的场景把处置流程反复过几遍直到形成条件反射。这个习惯是我最想推荐给准备上场的新手的。护网行动不只检验你懂多少更检验你在高压环境下能不能稳定地把自己会的东西发挥出来。准备越充分上场越从容这个道理在所有实战型工作中都成立。
阅读完成 · 觉得有帮助？
)
