第2章 前置条件检查：网络环境、系统权限、监控工具就绪
2.1 适用场景
本流程适用于以下三类演练场景的启动前置阶段：
- 红蓝对抗演练——攻击队在授权范围内开展渗透，需确保隔离网络不波及生产环境；
- 数据泄露应急演练——模拟勒索、越权或社工泄露事件，需验证监控告警链路是否完整；
- 合规性验证——按等保2.0/GDPR要求，检查最小权限与日志审计覆盖率是否达标。
核心原则：所有检查必须在演练正式启动前完成，并形成书面前置条件检查清单，未经确认不得进入下一阶段。
2.2 前置条件
在执行检查前，以下文档与授权必须就绪：
| # | 前置条件项 | 交付物 | 责任人 |
|---|---|---|---|
| 1 | 演练环境已搭建完毕，与生产环境物理/逻辑隔离 | 网络拓扑图、隔离策略文档 | 网络管理员 |
| 2 | 参与人员已签署授权书，明确操作范围 | 人员授权矩阵 | 安全主管 |
| 3 | 监控工具（EDR/SIEM/NTA）已接入演练VLAN | 工具接入清单 | 安全运维 |
| 4 | 账号权限已按最小原则配置，无残留高权限 | 权限审计报告 | 系统管理员 |
⚠ 常见陷阱：演练中超过60%的“误告警”源于监控工具未正确接入演练网段；超过30%的“越权模拟失败”是因为前置权限没有清理干净。前置条件检查不是形式，必须逐项签字确认。
2.3 操作步骤
前置条件检查按三个维度依次执行，顺序不可调换：网络 → 权限 → 监控。每个维度包含验证项与测试命令。
步骤一：网络环境检查
- 确认演练 VLAN 与生产 VLAN 之间无三层路由互通；
- 验证防火墙规则：仅放行指定端口（如 22/443/8080），其余默认拒绝；
- 使用
ping和traceroute测试隔离有效性：
# 从演练节点 ping 生产网关（应超时）
ping -c 3 10.1.0.1
# 从演练节点 traceroute 生产核心（应丢包或阻断）
traceroute -n 10.1.0.254
# 验证防火墙规则生效
iptables -L -n -v | grep DROP步骤二：系统权限检查
- 导出所有演练账号及所属组，确认无 root / Domain Admin 等高权限；
- 检查敏感文件 ACL，确保非授权用户不可读：
# 查看当前用户 uid/gid
id
# 检查演练数据目录权限
ls -la /data/simulated_leak/
# 查找属主为 root 的异常脚本
find /home/simuser -user root -type f 2>/dev/null- 验证 sudo 授权白名单：
sudo -l -U simuser步骤三：监控工具就绪检查
- 确认 EDR Agent 在线且版本为最新：
# 检查 EDR 服务状态（以 CrowdStrike 为例）
systemctl status falcon-sensor
# 检查 SIEM 日志转发器
systemctl status filebeat
journalctl -u filebeat --no-pager -n 20- 验证 NTA 网络流量采集是否覆盖演练 VLAN：
# 检查 Zeek 或 Suricata 监听接口
tcpdump -i eth0 -c 10 -nn port 443- 触发一条模拟告警，确认 SOC 平台能收到：
# 写入测试 Syslog
logger -p local0.warn "TEST_ALERT: pre_condition_check"
tail -f /var/log/syslog | grep TEST_ALERT💡 效率建议：将以上命令封装为 preflight.sh 一键检测脚本，输出 JSON 格式结果，便于自动解析入库。
2.4 输入输出物
| 类型 | 输入物 | 输出物 |
|---|---|---|
| 网络 | 网络拓扑图、防火墙策略表 | 隔离验证测试记录、防火墙规则快照 |
| 权限 | 账号清单、权限矩阵 | 权限审计报告、sudo白名单截图 |
| 监控 | 工具接入清单、告警规则列表 | Agent在线列表、测试告警回执 |
| 汇总 | 前置条件检查清单（空白模板） | 前置条件检查清单（已签字确认） |
2.5 责任边界
| 角色 | 职责范围 | 签字确认项 |
|---|---|---|
| 网络管理员 | VLAN隔离、防火墙规则、路由策略 | 网络环境检查通过 |
| 系统管理员 | 账号创建、权限分配、ACL配置 | 系统权限检查通过 |
| 安全运维 | EDR/SIEM/NTA部署、告警规则配置 | 监控工具就绪确认 |
| 安全主管 | 总体审批、授权签署、异常决策 | 前置条件全部放行 |
2.6 记录材料
以下记录材料需归档至演练项目文件夹，保存期限不少于6个月：
- 前置条件检查清单（含各维度签字页）—— PDF 扫描件；
- 网络隔离测试日志—— ping/traceroute 原始输出；
- 权限审计报告—— 含账号列表、属主、sudo 规则；
- 监控工具在线快照—— systemctl status 及 Agent 列表截图；
- 测试告警回执—— SIEM 平台告警 ID 或 Syslog 接收确认。
📌 归档要求：所有记录材料必须为不可编辑格式（PDF/PNG），文件命名规则：章节号_检查项_日期_版本.pdf，例如 02_网络隔离_2025_03_01_v1.pdf。
2.7 异常处理
前置条件检查过程中如发现以下异常，按对应策略处置：
| 异常现象 | 影响等级 | 处置策略 | 恢复标准 |
|---|---|---|---|
| 演练 VLAN 可 ping 通生产网关 | 严重 | 立即停止检查，通知网络管理员修改路由/ACL，重新验证 | ping 超时率达到 100% |
| 存在未授权的 root 权限账号 | 严重 | 禁用该账号，重新从权限基线同步，再次审计 | 所有账号均符合最小权限矩阵 |
| EDR Agent 离线或版本过低 | 中等 | 升级/重装 Agent，触发心跳测试 | Agent 在线率 ≥ 95%，版本与基线一致 |
| SIEM 无法接收测试告警 | 中等 | 检查 Logstash/Filebeat 配置，重启转发链路 | 测试告警在 2 分钟内出现在 SIEM 告警台 |
| NTA 接口未抓取到流量 | 低 | 确认端口镜像配置，重启 NTA 采集服务 | tcpdump 可正常抓包，NTA 仪表盘有流量曲线 |
⚠ 异常升级条件：如果任一严重异常在 30 分钟内无法解决，安全主管有权延期演练，直至所有条件满足。
2.8 验收标准
前置条件检查全部通过后，由安全主管在前置条件检查清单上签字确认。验收标准如下：
| 维度 | 验收项 | 通过标准 |
|---|---|---|
| 网络环境 | 隔离有效性 | 演练→生产方向 ping 超时率 100%，traceroute 在边界路由器处阻断 |
| 网络环境 | 防火墙规则 | 仅放行白名单端口，其余规则均为 DROP，无 any/any 例外 |
| 系统权限 | 最小权限 | 所有账号均无 root/Domain Admin 权限，sudo 命令受限 |
| 系统权限 | ACL 合规 | 敏感数据目录非授权用户不可读，无 777 权限 |
| 监控工具 | Agent 在线率 | EDR/SIEM/NTA 均在线，版本与基线一致 |
| 监控工具 | 告警可达性 | 测试告警在 2 分钟内成功写入 SIEM 并触发通知 |
| 文档 | 归档完整性 | 6 项记录材料（2.6节）全部归档，命名规范 |
验收结果记录在前置条件检查清单表格末尾，签字后即视为第2章完成，方可进入第3章「模拟场景初始化」。