当攻击溯源发现攻击者已开始内网横向移动，最正确的处置动作不是拔网线，而是立即判定威胁等级、确认横向移动的具体路径和节点，再做精准切割，整个处置周期应控制在分钟级并保留完整证据链。处置不当比攻击者的后手更容易造成全盘皆输，安全团队面临的不再是单点清除问题,而是一场与攻击者在内部网络中的赛跑。
内网横向移动处置优先级：先遏制扩散再做根因清除
横向移动意味着攻击者已经拿到了至少一台内网主机的控制权，并以此为跳板尝试接触更多高价值资产，大量安全事件复盘表明，失陷主机在内网存活的时间越长，被加密勒索或数据窃取的概率就越大，处置顺序一旦颠倒,后续的溯源分析和业务恢复都会陷入被动。
第一个动作：确认受影响资产范围
打开SIEM或EDR控制台，以最初确认失陷的主机IP为起点，回溯过去48至72小时的认证日志和远程执行日志，如果发现同一账号在不同主机间频繁登录，攻击者的移动路径基本就已经暴露,建议优先确认以下几个区域是否存在异常行为。
- 域控服务器的登录日志是否有非工作时间的异常认证
- 敏感业务网段的核心服务器是否存在源自失陷主机的SMB连接
- 已接入内网的运维终端是否存在使用本地管理员账号批量登录的记录
有了这份清单，才能判断横向移动是刚刚起步，还是已经接近尾声，多数情况下，攻击者的行动速度比预期要快得多，处置时必须默认已有部分核心资产失陷,并围绕这一前提设计遏制方案。
第二个动作：触发应急响应机制并立即拉黑已知失陷IP
在确认横向移动迹象存在后，应当立即启动应急预案，明确谁负责断网、谁负责联系业务负责人，内部响应流程建议控制在30分钟以内，在各安全设备同步下发封禁策略，将已经确认失陷的源IP、目标IP加入防火墙黑名单,防止攻击者继续利用现有链路扩散。
如果公司有专门的安全运营中心（SOC），可以开启一键隔离模式；如果没有类似自动化能力，就需要在核心交换机上配置ACL，阻断失陷IP与核心业务网段的通信，这一步的核心目的是用最低的误伤率,换取最大的遏制空间。
第三个动作：视威胁等级决定是否隔离失陷主机
如果失陷主机是普通办公终端，直接拔掉网线即可，如果失陷主机是承载关键业务的服务器，直接断网可能会导致业务中断，波及范围反而比攻击者造成的伤害更广，此时建议在该主机上开启EDR隔离策略，允许主机继续维持业务进程,但阻断所有面向外部和内网的主动连接。
攻击溯源时发现横向移动的核心排查思路
溯源的目的不仅是为了找到攻击入口，更重要的是还原攻击者的完整行动路径，找到攻击者用以横向移动的凭据，并据此评估当前的损失范围，这个阶段需要重点关注认证日志和远程控制痕迹,而不仅仅是查杀病毒文件。
排查域内身份认证异常
横向移动通常需要依赖有效的凭据，攻击者普遍采用的方式包括哈希传递攻击、抓取内存中的明文口令，以及利用已有的服务账号登录其他主机，在排查时，先查看域控服务器上是否存在大量使用同一账号从不同IP登录的记录,尤其是非工作时间段的网络登录事件。
如果发现有来自失陷主机的异常认证请求，且目标指向服务器组，可以尝试做一次身份鉴别：修改该账号的密码并设置强制下线，需要留意的是，如果攻击者已经在域内设定了额外的新账号，单纯修改密码是不够的，行业内有一个基本共识，攻击者在拿到域管权限后可用的持久化手段相当之多,清理动作需要覆盖账号属性变更和组策略绑定关系。
定位横向移动所用载荷和持久化手段
比对失陷主机上最近创建的可执行文件、计划任务、注册表启动项和服务信息，关注最近几个小时内的新增项，攻击者会用多种方式维持访问状态，比如在合法程序目录下释放动态链接库文件来规避查杀,而这些文件往往出现在非常规位置。
对于确认的可疑文件，建议先取哈希值做本地分析，再上传至沙箱平台查看其网络行为和进程行为，这个步骤能帮助确认攻击者的下一步意图，是为后续清除提供依据的关键环节，不做这一步就清理现场,后续无法在处置报告中准确说明攻击影响。
内网横向移动处置的实战操作步骤
理论上的处置原则需要落实到具体执行层面，才能保证真实场景下不慌乱，整个过程遵循“封堵取证清理加固”四个阶段展开，每个阶段均可在不同控制台或命令行窗口中完成，准备一份标准操作手册,成员按步骤执行即可。
封堵横向移动的关键通道
在防火墙或安全组中，临时添加阻断规则，要求阻断范围覆盖失陷主机到横向移动目标网段的所有通信，同时保留到安全设备的镜像流量,避免在封堵过程中丢失溯源数据。
封锁链路后，立即在DNS和全局流量管理设备中做一次排查，确认是否存在针对内部域名解析的DNS劫持记录，这一步很多运维人员容易遗漏，如果内网DNS记录被篡改，攻击者可以随时将内网业务流量引导到自己的服务器上,导致后续的威胁清除工作失去意义。
提取关键证据并保存快照
证据是后续追责和复盘的基础，在断网动作完成后，第一时间对失陷主机做内存镜像和时间线快照，建议优先收集以下清单中的材料,而不是急着全盘扫描。
- 系统安全日志、系统日志、PowerShell操作日志文件
- 当前进程列表、网络连接状态、已加载驱动模块列表
- 计划任务、服务配置、WMI持久化存储的内容
- 远程桌面连接历史和最近访问过的共享文件记录
- 浏览器保存的账号密码及登录状态缓存
将以上文件打包并计算MD5校验值，妥善保存到独立介质上，后续分析工作尽量在专门的取证工作站上进行，不要直接在失陷主机上执行过多操作,以免覆盖原始痕迹。
清理持久化文件与植入账号
删除确认的可疑计划任务、禁用在横向移动中扮演跳板角色的本地账号，并执行全量杀毒扫描，对于杀毒软件查杀后提示隔离的部分，不要立即重启系统,建议等待处置小组确认无误后再执行恢复操作。
清理完成后，在域内执行一次kerberoasting检查，确认是否存在被批量请求服务票据的情况，如果发现异常，说明攻击者已经尝试攻击域服务账号，需要配合账号密码重置和批量更新服务主体名称,避免残留风险。
针对性加固与隔离验证
对发生横向移动的网段重新配置访问控制策略，要求所有主机间的通信仅开放业务必需的端口，其他端口一律拒绝访问，最重要的加固动作是，在所有主机上启用Windows Defender Credential Guard，并关闭本地管理员账户的远程枚举权限,这样做可以显著降低哈希传递攻击的复用风险。
加固完成后，尝试从失陷主机向目标服务器发起一次SMB连接，如果连接失败，说明隔离策略已生效，随后复查安全设备的告警日志，确认没有新增的横向连接记录,整个处置过程才算闭环。
横向移动处置过程中的常见问题与决策参考
根据近年来的处置经验，不少安全团队在发现横向移动时存在策略摇摆的情况，导致错过最佳处置窗口，以下是三个典型场景的对策参考,可依照自身网络架构选择对应的处理路径。
| 场景特征 | 推荐处置策略 | 预期效果 |
|---|---|---|
| 仅发现一台办公终端失陷 | 断网隔离，重装系统后恢复 | 数小时内完成，风险最低 |
| 失陷主机为服务器，且有域管权限获取迹象 | 暂不强制断网，使用EDR微隔离，紧急修改域管密码 | 保住业务运行，同时切断进一步横向路径 |
| 已观察到勒索加密行为 | 立即断开所有主机的物理连接，接受短暂业务中断 | 优先止损，确保加密不扩散 |
面对“攻击溯源时发现横向移动怎么处置”这类实际问题，行业共识是按照“先控制、后清除”的路子走，不要试图在业务不间断的前提下做到完美处置,安全事件中保住核心数据才是一切行动的最高优先级。
横向移动处置后的快速业务恢复验证
经过阻断和清理后，业务恢复操作不能将全部主机同时接回网络，多次真实事件复盘结果表明，一次性全量恢复容易掩盖遗漏的感染源，建议分两步走，先让非核心业务主机分批接入，观察2到4小时确认无异常告警后，再恢复核心业务区域的正常通信；对于无法确认历史行为的主机,走重装流程比继续排查更稳妥。
攻击溯源和横向移动处置的相关问题解答
已经发现横向移动动作，可以不停业务直接追杀攻击者吗？
不建议这样做，攻击者在掌握有效凭据的情况下，清理动作越多，触发其预设后手的概率越大，正确做法是先在网络边界和核心节点阻断攻击路径，确保失陷主机无法影响其他区域，再进入排查和清除阶段，全程保留日志和证据,防止因追查操作破坏溯源数据的完整性。
横向移动处置完成后，溯源分析还需要做吗？
需要，处置解决的是当下扩散风险，溯源分析回答的是攻击源头和路径问题，完成清理后，应交给专门的分析人员继续梳理攻击链，形成完整的事件报告，用于防范同类攻击再次发生，同时确认攻击者是否已窃取特定数据,为后续通报和合规流程提供依据。
防御方如何提前发现横向移动的早期迹象？
通过持续监测内网主机间的异常连接、认证日志中的异常登录行为以及僵尸主机的新型外联行为，可以在横向移动早期发现攻击者，比如启用基于流量分析的工具观察内网主机间的非标准端口通信,并设置告警规则对短时间内的大规模登录尝试做出提示。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/783153.html
