攻防演练安全体系设计（四）：终端与服务器安全

原创

闲聊三号
闲聊三号

闲聊知识铺

2026年11月5日 20:47
河南

去阅读

前三层主要解决：

• 外部攻击面；
• 网络边界；
• Web/API与应用。

第四层开始进入真正的主机内部。

需要解决的问题是：

如果攻击已经突破应用并进入服务器，我们还能不能及时发现并阻断？

这就是终端与服务器安全。

一、为什么主机层是关键防线

攻击一旦进入主机，攻击者的能力会迅速扩大。

典型路径是：

漏洞利用  ↓命令执行  ↓下载Payload  ↓建立控制  ↓获取凭证  ↓横向移动  ↓持久化

前三层主要关注“攻击流量”。

第四层关注的是：

进程文件命令账号网络连接注册表系统行为

也就是说，防御视角从：

这个请求是否恶意？

变成：

这台主机是否已经被控制？

二、传统杀毒为什么不够

传统杀毒主要依赖：

文件特征病毒签名恶意样本

但真实攻防中，攻击者并不一定使用已知恶意文件。

常见方式包括：

PowerShell系统自带工具脚本内存执行合法软件滥用无文件攻击

这类攻击可能没有明显的恶意文件。

因此主机安全需要从：

文件检测

升级到：

行为检测

这也是EDR的重要价值。

三、EDR解决什么问题

EDR，即Endpoint Detection and Response。

核心能力主要包括：

进程监控文件监控网络连接命令行记录账号行为注册表监控攻击检测终端响应

它真正有价值的地方，是能够看到完整行为链。

例如：

java  ↓cmd.exe  ↓powershell.exe  ↓下载文件  ↓连接外部IP

单独一个PowerShell进程未必说明问题。

但如果它由Web应用进程启动，随后又连接外部地址，风险就非常高。

四、进程树是主机调查的核心

攻防演练中，进程关系非常重要。

例如正常Web服务：

nginx  ↓正常业务进程

如果出现：

nginx  ↓bash  ↓curl  ↓chmod  ↓执行未知文件

就应该重点关注。

Windows环境也类似：

IIS ↓cmd.exe ↓powershell.exe

很多入侵行为并不需要复杂规则。

仅仅是异常父子进程关系，就可以提供很高的检测价值。

五、重点关注Web进程启动系统命令

服务器环境中，一个非常重要的检测场景是：

Web进程   ↓系统命令

例如：

java → bash php-fpm → sh nginx → curl w3wp.exe → cmd.exe

这类行为可能意味着：

Web漏洞利用WebShell远程命令执行

因此应重点监控：

Web进程+异常子进程+异常网络连接

这也是第三层应用安全与第四层主机安全的重要联动点。

六、WebShell检测不能只靠WAF

WebShell本质上已经进入主机层。

典型过程：

文件上传   ↓写入Web目录   ↓访问WebShell   ↓执行命令

因此检测应该同时覆盖：

WAF检测上传和访问行为 EDR/HIDS检测文件变化和进程行为

例如：

Web目录新增脚本+该脚本被访问+Web进程启动Shell

这三类信息关联后，告警置信度会明显提高。

七、反弹Shell是重点检测对象

攻击者获取命令执行能力后，经常建立反向连接。

典型行为：

服务器   ↓主动连接外部地址   ↓建立交互Shell

因此需要重点关注：

异常外连未知目的IP非常用端口Shell进程建立网络连接周期性连接

例如：

bash ↓TCP连接 ↓外部IP

或者：

powershell.exe ↓外部TLS连接

这些行为通常具有较高分析价值。

八、系统自带工具也可能成为攻击工具

现代攻击中一个重要特点是：

尽量使用目标系统本身已有的工具。

例如Windows环境常见：

PowerShellcmdwmiccertutilrundll32regsvr32schtasks

Linux环境可能包括：

bashshcurlwgetsshpythonperlnc

这些工具本身都是正常程序。

因此不能简单按照：

程序是否恶意

进行判断。

而应该看：

谁启动它执行了什么参数连接到哪里执行之后发生了什么

九、命令行日志非常重要

如果只记录：

powershell.exe启动

信息非常有限。

如果能够记录完整命令行：

powershell.exe -xxx ...

调查价值就完全不同。

同样，Linux中：

bash

和：

bash执行某条下载并执行命令

代表的风险不同。

因此EDR或主机审计系统应尽量保留：

进程名称父进程命令行执行用户时间网络连接文件行为

这些信息是后续攻击溯源的基础。

十、凭证窃取是主机失陷后的关键阶段

攻击者控制单台主机后，通常会尝试获取更多账号权限。

例如：

系统账号管理员账号缓存凭证浏览器凭证应用配置文件中的密码密钥文件Token

如果成功获得高权限凭证，攻击就可能从：

单机失陷

升级为：

整个网络扩散

因此主机侧需要重点检测：

异常凭证访问敏感进程访问密码文件读取异常Token使用权限提升行为

十一、权限提升需要重点关注

攻击者获得普通用户权限后，经常尝试提升权限。

Windows环境可能表现为：

服务创建计划任务异常管理员操作系统进程访问

Linux环境可能表现为：

sudo异常使用SUID文件内核漏洞利用敏感配置修改

核心目标都是：

普通权限   ↓管理员 / root权限

因此安全设备不能只判断：

有没有恶意文件。

还要判断：

用户权限是否发生异常变化。

十二、持久化意味着攻击者准备长期控制

攻击者为了重启后仍能进入系统，通常会建立持久化机制。

例如：

计划任务启动项系统服务新增账号SSH KeyWebShell注册表启动项

如果主机出现：

异常服务创建异常计划任务新增管理员账号

应重点分析。

重保期间尤其要关注：

新建账号新建服务启动项变化计划任务变化

这些行为并不一定频繁，但出现后价值很高。

十三、服务器和办公终端的关注点不同

服务器更关注：

WebShell命令执行服务变化异常外连账号变更文件完整性

办公终端则更容易面对：

钓鱼邮件恶意附件浏览器下载脚本执行USB介质凭证窃取

因此EDR策略不应该完全相同。

服务器强调：

稳定性关键进程关键目录低误报

办公终端更强调：

恶意软件脚本行为用户行为邮件入口

十四、HIDS、EDR和主机安全平台的区别

实际项目中经常看到：

HIDSEDR主机安全CWPP

它们能力存在大量重叠。

可以简单理解：

HIDS

偏向：

主机入侵检测文件完整性日志分析WebShell检测

EDR

更强调：

行为检测攻击链终端调查响应处置

CWPP

主要用于：

云服务器容器云工作负载

在项目设计中，不必过度纠结名称。

更重要的是确认：

是否真正覆盖了主机侧需要的检测和响应能力。

十五、主机安全的响应能力

EDR不仅要发现，还要能够快速处置。

典型响应能力包括：

隔离终端终止进程删除文件隔离文件禁止Hash封禁网络连接远程调查

例如：

发现服务器失陷   ↓确认恶意行为   ↓网络隔离   ↓终止恶意进程   ↓保留证据   ↓进一步排查

这比单纯产生告警更有价值。

十六、隔离主机不能盲目操作

服务器与办公终端不同。

如果直接隔离：

核心数据库核心业务服务器

可能导致业务中断。

因此应该根据资产等级制定响应策略。

例如：

普通终端

高危入侵→ 自动隔离

普通服务器

高危入侵→ 人工确认后隔离

核心服务器

高危入侵→ SOC确认→ 业务负责人确认→ 执行应急方案

安全响应必须与业务连续性结合。

十七、EDR覆盖率比单台设备能力更重要

一个常见问题是：

部署了EDR

但只覆盖部分主机。

例如：

服务器1000台EDR覆盖600台

攻击者一旦进入剩余400台，仍然存在明显盲区。

因此重保前应该明确：

关键服务器覆盖率办公终端覆盖率Agent在线率策略下发状态日志上传状态

尤其是关键资产，应尽量做到完整覆盖。

十八、Agent在线不等于真正有效

还要检查：

Agent是否正常运行策略是否最新检测模块是否开启日志是否上传是否被用户卸载版本是否过旧

否则可能出现：

管理平台显示已安装

但实际上：

没有检测能力

所以重保前需要做实际健康检查。

十九、服务器基线同样重要

很多入侵并不是通过复杂0day完成的，而是利用配置问题。

例如：

弱口令默认账号高危服务不必要端口过度权限旧版本组件

因此主机层还应包括：

安全基线漏洞管理账号检查补丁管理

重点检查：

无用账号管理员账号SSH配置RDP配置密码策略服务配置文件权限

二十、不要在重保开始当天大规模升级Agent

主机安全Agent直接运行在生产服务器上。

因此任何：

大版本升级策略大幅调整新模块启用

都应提前测试。

否则可能出现：

CPU升高业务进程冲突系统异常应用兼容问题

重保期间应该强调稳定性。

正确方式是：

提前测试↓分批升级↓灰度观察↓全面部署

二十一、主机层必须和网络层关联

EDR只能看到主机内部行为。

NDR能够看到：

主机之间的网络通信

二者结合价值更大。

例如：

EDR：服务器启动异常PowerShell

同时：

NDR：服务器向外部IP周期连接

然后又出现：

NDR：服务器扫描内网445

这时可以快速形成判断：

主机失陷  ↓建立C2  ↓准备横向移动

二十二、主机层也要与WAF关联

一个典型高价值关联规则是：

WAF：发现漏洞利用

紧接着：

EDR：Web进程启动Shell

如果两者时间接近：

攻击成功概率显著上升

因此SIEM可以建立：

WAF攻击+EDR异常进程=高危入侵事件

这种跨设备关联比单独看告警更有价值。

二十三、重保期间主机侧重点检查什么

建议至少完成以下检查。

覆盖情况

EDR覆盖率Agent在线率关键资产覆盖

安全基线

弱口令高危账号无用服务远程管理配置

漏洞

高危漏洞系统补丁中间件版本

行为检测

WebShell反弹Shell异常进程异常外连权限提升持久化

响应能力

是否能够隔离是否能够杀进程是否能够远程调查

二十四、第四层真正要解决的问题

终端与服务器安全最终需要回答：

主机是否已经失陷？ 攻击者执行了什么？ 建立了什么控制？ 获取了什么权限？ 是否建立持久化？ 是否准备向其他主机扩散？

这是整个攻击链非常关键的一层。

因为当攻击者已经获得：

主机权限

下一步通常不会停留在当前主机。

而是开始寻找：

账号密码管理员权限AD数据库文件服务器其他关键系统

这意味着攻击已经从：

控制主机

开始转向：

控制身份

这就是七层模型中的第五层：

身份与权限安全

如果第四层解决的是：

攻击者是否已经控制某台设备。

那么第五层需要解决的是：

> 攻击者是否正在使用合法身份扩大控制范围。