1. 护网行动到底在干什么核心流程与整体思路说句实在话护网行动这几年在安全圈已经快从“大考”变成“常态节目”了。每年备战期一到甲方安全团队、乙方厂商、外聘的红队、刚入行的新人都会被卷进同一个话题红队怎么打、蓝队怎么防、紫队怎么看。很多第一次接触的朋友容易把它理解成一场“你攻我守的比赛”但实际参与过就会明白它更像一次把整个安全体系按到真实业务压力下做的全流程体检。护网行动的核心不是“谁输谁赢”而是通过高强度的攻防对抗把平时发现不了、或者发现了但没有引起重视的问题全部暴露出来。这些问题可能是一个开放到公网的管理后台也可能是一条没人盯的告警甚至是一份完全过期的资产清单。演练结束后所有问题都要进入整改闭环这才是护网真正的价值所在。所以说这篇文章想聊的“全流程”也不只是红蓝紫队的分工还包括从备战到复盘的完整链路、应急响应的实战动作以及一个新人最快能够切入的位置。文章适合三类人看一是公司刚接到护网任务、正在组队的安全负责人二是准备参加护网实习或驻场的在校学生、刚入行工程师三是想搞清楚紫队到底在干嘛或者想提升应急响应能力的基层运维。下面我按自己的经验把整个护网的逻辑拆开来讲尽量做到每个环节都能直接参考。1.1 一个护网项目的生命周期备战、预演、实战、复盘先说整体阶段。很多人以为护网就是正式对抗那几天实际上准备期至少占整个项目的一大半。第一个阶段是备战。这个阶段安全团队的核心工作可以总结成三件事理清资产、收敛暴露面、补齐监控。理清资产是最痛苦也最不能跳过的一步因为护网期间红队就是从资产入口开始找突破的如果自己连有多少对外系统、哪些系统暴露了高危端口、哪些接口没有接入日志都不清楚那后面对抗基本就是蒙眼防守。我见过不少企业到了临战前一周才临时发现一个没人维护的老系统还挂在公网上紧急下线又怕影响业务最后只能硬着头皮加访问控制非常被动。第二个阶段是预演或内部自查。有条件的团队会在正式对抗前组织内部红蓝对抗或者至少做一轮漏洞扫描和渗透测试把明显的高危漏洞提前堵上。同时要把应急响应预案跑一遍确认告警通知链路是否通畅值班排班是否合理指挥群里的关键人是否都能在十分钟内响应。预演的意义不在于把所有问题都解决掉而是让所有人熟悉流程避免正式对抗时手忙脚乱。第三个阶段才是正式实战。此时红蓝双方在规则框架内高强度对抗蓝队需要7x24小时值守持续监测外部攻击行为红队会尝试各种路径试图突破边界紫队全程记录和观察双方行为。正式对抗期间最大的特点是指标压力每一天结束后都有通报攻击成功数量、告警处置数、失陷主机数都会被严格统计。所以蓝队的节奏基本是“白天晚上两班倒告警群里不间断”非常消耗体力。第四个阶段是复盘。演练结束后红队要提交详细的攻击报告蓝队要根据防守过程输出防守报告和应急事件记录紫队则要把双方的行为合并成一份整改报告。这个过程才是护网真正的产出。如果复盘做得好能直接把安全能力推高一个台阶如果只是走个过场那护网就真的只是一场昂贵的大型表演。1.2 为什么一定要分红蓝紫三个角色很早以前攻防演练只有红蓝两个角色红队负责攻击蓝队负责防守。但后来大家发现一个问题红队打出了几条很精妙的攻击路径蓝队确实也拦住了但回到日常运营以后这些经验并没有沉淀成防护能力。攻击路径没有还原检测规则没有更新指挥协同的缺陷没有被记录等于打了一场热闹仗。紫队就是为了解决这个“转化断层”而出现的。紫队不直接攻击也不直接防守它的职责是从旁观察红队的攻击手法、验证蓝队的检测能力和响应时效、评估整个防守体系是否闭环。最终紫队要输出一份能够指导整改的报告。可以这么理解红队负责找出问题蓝队负责拦下问题紫队负责把问题翻译成“解决方案”。红蓝紫三个角色的分工也带来一个观念上的变化护网不再是红队和蓝队互相较劲的擂台而是一个三方联动的工程协作。红队要理解业务蓝队要理解攻击原理紫队要既懂攻又懂防还要有很强的报告提炼能力。这也是为什么紫队成员往往是经验最丰富的那批人。2. 红队视角攻击方的工作思路与边界意识既然要了解护网全流程红队的打法就必须讲清楚。红队的工作逻辑看着酷炫其实可以概括成一条主线找到暴露在公网的薄弱入口尽量在不触发告警的前提下拿到一台内网主机的控制权再以内网为跳板逐步扩大战果。整个过程要围绕目标边界做信息收集和路径选择。很多人对红队有误解以为红队就是拿各种漏洞工具连扫一通谁扫出来的洞多谁厉害。正规护网里的红队完全不是这样。红队的攻击路径要贴近真实威胁同时要遵守严格的授权边界和规则约束只能在指定目标和指定时间段内开展工作不能对业务产生不可逆的影响。这不仅是职业要求更是红线。2.1 红队在侦察阶段到底在收什么红队开始攻击前会花大量时间做信息收集这部分可不仅仅是收集几个域名和IP那么简单。红队关注的是“攻击面”也就是所有能被人从外网触达的系统、接口、人员和组织信息。入口资产是第一步。红队会梳理目标企业暴露在公网的所有业务系统包括官网、办公系统、移动端App、第三方托管页面、云上资产等。接着会继续深挖子域名、历史DNS记录、SSL证书信息以及开放的端口和指纹特征。这些信息组合起来能帮助红队判断哪些系统是新的、哪些系统可能存在无人维护的接口。人员信息也是红队侦察的重要部分。在合法的授权范围内红队会通过自查企业的公共信息找到员工在招聘网站、技术社区或社交平台留下的痕迹用来构造钓鱼场景或者猜测常见口令。这里必须强调这类动作只能存在于合法授权的护网场景中。任何未授权的信息收集和攻击尝试都是违法行为这个边界任何时候都不能跨越。我又要提醒一点护网期间红队的侦察行为是透明的每一步都在规则允许的范围内。作为蓝队你看到这些侦察行为时要做的不是恐慌而是从侦察特征中判断对方可能瞄准的方向。比如突然出现大量针对某个业务系统的目录扫描说明对方大概率在这个系统上发现了入口。2.2 攻击路径的构造与常见入口红队在完成信息收据后会根据目标暴露面的实际情况选择攻击路径。护网实战中出现频率最高的入口大概有几类远程办公接入入口、Web业务应用、邮件系统、开放到公网的运维管理后台。远程办公入口几乎是红队最优先尝试的目标因为这类系统往往承载着大量用户认证逻辑只要找到一个弱口令、一个已知漏洞或者一处访问控制缺陷就能直接绕过边界进入内网。蓝队防守时一定要对这类入口做重点监控包括登录行为、异常时间段访问、以及认证日志的完整记录。Web业务是另一个高频突破口尤其是那些存有历史遗留问题的老系统。红队会重点测试文件上传点、SQL注入点、越权访问接口和逻辑漏洞用最少的触发动作实现控制。对蓝队来说Web应用的日志质量和WAF的拦截策略直接决定了能不能在攻击早期发现异常。邮件系统一般被红队用来做钓鱼攻击。红队会构造与业务场景高度相似的钓鱼邮件诱导员工打开恶意附件或输入认证信息。蓝队要做的除了部署邮件网关过滤还要在演练前反复开展钓鱼安全培训把“员工不点不明邮件”这条底线反复灌输。2.3 红队实战中的规则红线护网中的红队不是在“自由猎杀”而是戴着脚镣跳舞。比如不能干扰正常业务不允许对核心数据做破坏性操作不允许进行勒索或加密行为并且在攻击成功后要按规定上报战果而不是过度内网漫游。同时红队的攻击行为必须能追溯到具体时间点和工具特征方便蓝队复盘和紫队评估。作为红队成员最忌讳的是为了战果而忽略规则。一个经验丰富的红队队长会严格控制攻击的“火候”点到即止把攻击路径跑通就撤退把时间和精力放在写报告和还原攻击链上。实战中真正有价值的部分不是“打进去了”而是“为什么能打进去蓝队为什么没发现怎么修才能防住”。3. 蓝队视角防守方的人员配置与协同作战如果把护网比作一场足球赛红队是进攻球员蓝队就是整条后防线。蓝队的工作量最大、节奏最紧张、承担的压力也最高。一条告警没看住一台主机被拿第二天的通报中就会直接体现。所以蓝队最核心的任务不是“堵住所有洞”而是建立一套能在高强度压力下不崩溃的运营体系。人员配置上蓝队通常会分成几个小组监测组盯态势感知平台和流量分析设备研判组负责对告警做初级判断处置组负责封禁IP、隔离主机和阻断攻击行为应急组专门处理已经确认的失陷事件另外还有情报组负责外部情报收集和内部战况汇总。大点的团队还会安排专门的写报告岗负责对接紫队和上级通报。3.1 蓝队值守时段的真实工作状态正式对抗期间蓝队基本是分班值守。白班从早上八点到晚上八点夜班从晚上八点到次日早上八点每组人员配置相当确保每个时段都有能够独立做研判的人。值班席上最显眼的一定是监控大屏上面滚动着态势感知平台的实时告警旁边可能还开着日志审计系统、流量分析系统、威胁情报平台。新告警一进来监测组马上要确认是什么类型的告警关联到哪台资产来源IP是哪里然后快速判断这个告警值不值得交给研判组深究。这里有个新手经常误会的地方告警不等于攻击成功。很多告警只是扫描探测、WAF拦截日志或者正常的爬虫行为如果每一条都如临大敌整个团队很快就会疲劳。蓝队的核心能力是快速筛选出真正需要关注的“有效告警”。要做到这一点除了依赖平台规则更重要的是值班人员对自家资产的理解。一个从没见过告警深层数据的值班人员和一个人已经在公司盯了两年日志的人面对同一条告警做出的判断完全不一样。3.2 蓝队协同情报共享与上报链路蓝队不是一个人在战斗协同能力往往决定了防守下限。护网期间蓝队内部一般会建立几个不同层级的沟通群一线运维值班群负责报技术细节应急指挥群负责调度和决策对外汇报群负责整理阶段性战况。上报链路要尽量短。一个高优先级告警从发现到上报不应该超过十分钟。我见到过比较理想的状态是监测组发现异常马上在值班群内同步源IP、目标资产、日志特征研判组在两分钟内给出初步判断如果判定为疑似攻击处置组立刻在防火墙上封禁来源IP并通知资产负责人。这整套流程最关键的一点是“能不能在高压下快速执行”所以护网前至少要内部彩排两次。3.3 蓝队之间也要防范“告警盲区”护网期间最容易出事的不是告警太多而是告警多到“溢出”后被放弃。系统每天可能产生几十万条日志但人的注意力有限如果关键告警混杂在海量低危日志中很有可能被漏掉。针对这个问题我建议蓝队在值守之前先做告警降噪。可以把常见扫描行为、已知业务请求、合法运维行为纳入白名单让真正可疑的告警浮上来。同时把重点监控资产单独建一个列表对这些资产产生的任何异常都要保持高度敏感。防护资源的投放顺序也应该是核心业务系统 高风险暴露面 远程接入入口 一般办公系统。这样才能保证在有限的精力下优先守住最重要的阵地。4. 紫队视角从对抗结果中提炼真正的安全改进项紫队是护网体系里含金量很高的角色但也是新人最难理解的角色。紫队不参与攻防操作它做的事情更接近“裁判加教练”。红队打出了什么路径蓝队有没有发现发现之后花了多长时间响应处置动作是不是合理这些都会被紫队记录下来变成最终的评估报告。4.1 紫队到底观察什么紫队在实战中会重点盯几个指标攻击路径的检测覆盖率、从攻击发生到被蓝队发现的平均时间、从发现到完成处置的平均时间、以及漏洞修复的闭环率。检测覆盖率指的是红队在某条攻击路径上的关键动作是否能被蓝队的监控系统捕捉到。比如红队在Web系统上尝试了文件上传紫队会记录这个行为是否产生了日志、告警、以及研判结论。如果红队连续发起了多步攻击蓝队只捕捉到其中一两步那就说明检测规则存在盲区。响应时效是另一个关键指标。护网对抗中蓝队如果能在攻击早期拦下来红队就只能放弃这条路线。但如果响应时间过长红队可能已经把内网横切完成了。紫队会根据时间线还原出“红队在什么时间做了什么、蓝队在什么时间发现了什么”这个时间差就是蓝队最需要提升的空间。4.2 紫队的输出物与整改闭环紫队的最终报告通常由三部分组成攻击路径的时间线还原、红队行为分析、防守短板与整改建议。报告的可执行性比“分析深度”更重要因为护网结束后最需要的是明确的问题清单。比如紫队会说红队通过邮件钓鱼获取了一个账号口令随后通过该账号登录了远程办公入口完成了边界突破。蓝队没有第一时间发现邮件网关中的钓鱼样本直到红队在内网横向移动时才触发告警。对应的整改建议就会是加强邮件样本特征库的更新频率、对高权限账号启用双因子认证、增加远程接入入口的可疑行为监控。这样每条结论都能落地到具体功能或规则上而不是空泛地说“加强安全意识”。4.3 紫队成员的能力模型能做好紫队的人通常是做过红队、也做过蓝队的“双料选手”。他需要理解红队的攻击思路才能准确描述攻击路径也需要理解蓝队的运营细节才能判断是监控缺失还是处置不当。更重要的是他需要能把复杂的攻防过程提炼成管理层能看懂的语言。对想往紫队方向发展的朋友我的建议是先做两轮蓝队再尝试做几轮红队积累跨视角经验后再转向评估和报告方向。没有这两方面的实际体验很容易写出“上不着天、下不着地”的分析报告。5. 应急处置全流程从告警到恢复的实战动作应急处置是护网中最考验团队成色的一环。无论蓝队防得多好总会有告警需要升级、有主机需要确认甚至会出现一定范围内的失陷情况。真正专业的团队不是“永远不出事”而是“出了事能快速控制影响范围、最短时间恢复业务、并且把事件原因彻底排查清楚”。5.1 告警分级标准与第一响应动作应急响应的第一步是分级。我常用一个四级分级方式普通告警、关注事件、严重事件、紧急事件。普通告警指扫描探测和误报不需要立即处置记录在案即可。关注事件是指有明确异常行为但仍无法确认是否攻击成功的情况需要加强盯防并做初步排查。严重事件指疑似已失陷或业务已受影响的情况需要成立专项处置小组。紧急事件指核心业务系统已经被控制、数据可能被篡改或大量主机受影响的情况需要启动全量应急预案。第一响应动作有一个固定的优先级顺序保留证据、控制影响、通知汇报、排查根因。很多新人在慌乱中第一反应是直接把主机重启或者把业务停掉这是应急响应的大忌因为一旦主机重启内存中的攻击痕迹可能就没了日志可能被清空取证难度急剧上升。正确的做法是先做系统快照和日志留存再根据情况决定是否隔离断网。5.2 分析溯源与影响面控制事件确认后紧接着的工作是分析溯源。溯源的目标是搞清楚三个核心问题攻击者从哪里进来、用了什么方式、目前控制了什么范围。分析溯源一般会从日志开始。先查边界设备的访问日志找到攻击来源IP和时间段再查应用服务器上的Web日志和认证日志确定攻击者走了哪条业务链路接着查操作系统层的关键日志看有没有创建可疑进程、新增系统账户、修改系统文件。同时要用流量分析工具回看该时间段内的网络连接找出是否有数据外传的可疑行为。影响面控制要与溯源同步进行。如果只有一个点被攻击直接在防火墙上封禁相关IP并隔离主机即可如果攻击可能已经扩散就要果断对目标网段做快速隔离防止红队在内网继续横向移动。这里要特别注意隔离动作不能以牺牲核心业务可用性为代价好的应急团队会提前准备好“最小影响隔离方案”比如只断掉特定端口或只限制特定路径的访问。5.3 清除恢复与加固复测清除阶段要做的动作比较细删除攻击者植入的后门文件、清理异常账户、断开异常外连、修补被利用的漏洞、重置相关系统的口令。每个动作都应该有明确的责任人清除完成后要再次验证确认攻击者已经无法通过原路径重新进入。恢复阶段的关键是“带着监控恢复”。业务恢复上线不是结束而是新的观察期的开始。我一般建议恢复后至少持续观察24小时重点看是否有同类攻击再次出现是否有残留后门被触发。护网期间红队经常会在被清除的路径上再次尝试所以复测动作宁可重复做也不能给对手留机会。5.4 应急响应时间线参考很多团队在应急过程中最缺的不是处置能力而是时间管理。没有明确的时间节点事情会越拖越被动。这里给一套我常用的参考SLA时间节点应完成动作发现后15分钟内完成告警确认同步关键人建立应急处置群30分钟内完成初步研判和分级确认是否有业务影响2小时内完成影响面初判给出隔离方案并执行4小时内完成日志溯源和攻击路径还原至少主线24小时内清除后门、完成加固、恢复业务并启动持续监控这个时间线不是硬性标准但它能帮团队在高压下保持节奏。每个护网团队都应该在战前把这份时间线根据自身业务情况做调整让所有人都知道“到时间点必须干什么”。6. 新手参与护网行动的完整攻略岗位选择与技能准备每年护网启动前都有大量新人问“我基础很差能参加护网吗”。我的回答是可以但前提是选对切入岗位、提前做足技能准备。护网不是只有“攻击手”和“防守专家”两种角色它是一个完整的作战体系需要大量执行层面的基础人员。6.1 新手最容易上手的五个岗位如果你是第一年参加护网我优先推荐以下几个岗位它们对深度技能要求不高但非常锻炼基本功。日志分析岗是最容易切入的方向。核心工作就是盯着Web日志、防火墙日志、服务器操作日志把可疑行为筛选出来并上报。这个岗位考验的是耐心和细心能让人快速建立对“异常行为”的敏感度。告警监测岗在各种态势感知平台上做告警初级筛选不需要立刻判断攻击是否成功只需要负责把告警分类打标并流转给研判人员。这个岗位的特点是重复性高但要学会从海量告警中找到真正值得关注的那一条。威胁情报整理岗负责汇总外部情报和内部攻击特征维护IOC列表定期更新封禁IP和恶意域名。它的技术含量不高但能帮你建立起威胁情报的运营思维。应急响应记录岗在应急事件发生时负责记录事件时间线、操作动作和结果简直是应急流程中不可或缺的“现场录音机”。这个岗位能让你在旁观状态下学到整个应急处置的最佳姿势。巡检核查岗负责定期检查重点设备的状态、日志是否正常传输、监控策略是否生效。它关注的是“防守体系的可用性”非常适合刚入行还看不懂攻击链的萌新。6.2 备战期的核心技能清单不管你选择哪个岗位有一批基础知识是必补的计算机网络基础、常见协议的工作原理、Linux和Windows基本命令、Web应用攻击的基本类型、日志分析的基本思路。网络和协议部分至少要理解TCP握手、HTTP请求响应过程、DNS解析流程和常见端口作用。不需要会背报文格式但看到一条异常连接要能判断出它可能是访问哪个服务的。操作系统命令方面Linux至少熟悉文件操作、进程查看和日志定位Windows至少要清楚事件查看器的分类和常用账户管理操作。Web攻击类型是护网新人的必修课。不需要会完整复现攻击流程但至少要看过典型的攻击特征SQL注入会在请求参数中出现特殊字符、Webshell上传会伴随异常后缀文件、命令执行会带有很多系统命令的特征。这一块建议新人去读经典的Web安全书籍和公开靶场的攻击案例把“特征和原理”记住实战中遇到时就能反应过来。6.3 新手必备的日志分析命令与自查清单直接给一份我在蓝队值守时常用的命令清单纯自用版亲测好用。Linux平台看进程和端口最常用的是ps -ef和ss -lntp。排查Web服务器日志时用tail -f /var/log/nginx/access.log实时追踪用grep \.php access.log | awk {print $1} | sort | uniq -c | sort -nr按IP统计访问某个特征路径的次数。找近期新增的可疑文件可用find / -name *.jsp -mtime -3这个命令在排查Webshell时救过我好几次。抓流量分析时用tcpdump -i eth0 host 目标IP对来源地址做定向抓包再用tcpdump -w capture.pcap把流量保存下来喂给Wireshark慢慢看。Windows平台下排查可疑账户用net user和wmic useraccount list full查看系统最近事件则用wevtutil qe Security /c:20 /rd:true /f:text。这些命令都不难但新人最好在护网前在虚拟机里都亲手敲一遍熟悉输出格式。“见过”和“会查”之间差了十遍练习。真正的护网现场没有时间让你现场翻手册命令想不起来那就是告警滑过去了。6.4 新手参与护网的职业建议与行动禁忌新手参与护网心态上要摆正两件事。第一是纪律优先护网期间接触到的企业资产和数据都是敏感的任何行为都要在授权范围内对自己的账号操作严格留痕。第二是主动学习值班以外的空闲时间不要只顾着刷手机把当天遇到的告警特征和处置方法记在笔记里几天下来积累的效率远超看几小时的教程。行动禁忌方面最严重的莫过于越权操作。新手刚接触护网系统容易出于好奇去访问权限之外的资源或者去测试一些没有授权的主机。这里触碰的是红线和职业底线一旦出事轻则失去资格重则担上法律责任。另一个常见问题是盲目封禁看到攻击IP就不管不顾地封结果把正常业务入口也封住了。护网期间做任何封禁动作前都必须先确认受影响资产和业务范围。7. 实战中的常见问题与踩坑实录最后这部分聊点真实的。护网这些年下来我自己和身边团队踩过太多坑有些坑几乎是每年都会出现的。写出来帮大家提前避一避。7.1 告警洪水与误报疲劳护网第一个容易出的问题就是告警平台在红队开始扫描后直接告警爆炸。态势感知系统里的告警一条接一条值班人员前两小时还很紧张到了后半夜就开始麻木最后真正关键的告警也被当成普通扫描漏掉。针对这个问题一定要在护网前做好白名单和白名单之外的“高价值告警”清单。凡是指向核心资产的告警必须有专人重点盯防。另外可以按来源IP做聚合展示同一IP的连续扫描合并成一条事件大幅降低告警量。实在人手不够时宁可漏掉一小时前的扫描验证消息也不能错过针对核心资产的实时异常。7.2 封禁动作太粗暴导致的误伤很多团队一确认攻击IP就立刻在防火墙上封禁整个C段结果把同一段里的正常业务出口也封了第二天业务人员疯狂投诉。正确的做法是先封单独的IP再针对攻击的特征做更精细的阻断比如特定路径、特定UA或特定端口。只有在确认攻击者从这个IP段大量发起请求时才考虑封禁更大的范围并且要事先评估对业务的影响。7.3 应急响应时发现日志不完整护网中后期复盘时最尴尬的场景是红队已经打进来又退出去蓝队想还原路径结果发现有些关键设备的日志根本没接入日志平台或者日志保留时间不够无法覆盖实战期间的所有记录。这是备战期就应该排查掉的问题。建议在护网前对所有关键设备做一次日志检查确认网络边界设备、服务器、应用系统、数据库的日志都接入统一平台且至少保留一个月以上。日志的时区也要统一不然跨源关联时会出现时间对不上的情况排查难度会直线上升。7.4 复盘报告没有人跟进很多护网做完之后紫队的整改报告发出去过了一个月再看整改项几乎还是原封不动。这是因为整改责任没有落到具体的人和具体的时间点。护网复盘要想有实效最有效的做法是每一整改项都绑定一个负责人和截止日期安全团队定期跟踪进度直到闭环。没有闭环的护网才是真正的浪费。最后再分享一点小经验从第一次参与护网到现在我最大的一个体会是真正有用的不是临时抱佛脚的“花活儿”而是平时把资产梳理干净、把日志采全、把值班流程跑顺、把沟通链路定清这些土办法。护网开始之前焦虑是正常的但只要你把基础项一个一个落实到位实战时就会发现大多数问题都有一套预案可以兜底。新手也一样不要一上来就研究高深的技术细节先把一个岗位上最枯燥的事情做实做透护网结束后你回头看去收获一定比想象中多。
