2. 终端安全威胁 landscape

终端安全运营的第一步不是部署工具，而是建立对威胁全景的准确认知。终端既是攻击者的首要落脚点，也是数据泄露的最终出口。理解常见威胁类型、攻击链在终端上的具体体现，以及 APT、无文件攻击、勒索软件、挖矿、横向移动与持久化这些关键手法的运作方式，才能让后续的检测、响应与加固有的放矢。

常见终端威胁类型

终端威胁可以从“载体—行为—目标”三个维度来分类。按载体分，包括恶意可执行文件、恶意文档（宏、漏洞利用）、脚本（PowerShell、VBScript、JavaScript、Shell）、恶意浏览器扩展、驱动与固件级恶意代码。按行为分，包括下载执行、进程注入、凭据窃取、权限提升、持久化、横向移动、数据外传、加密勒索、资源滥用。按目标分，则可分为窃密型、破坏型、勒索型、挖矿型与潜伏型（APT）。

在真实环境中，单一威胁往往组合出现。例如一个钓鱼邮件附件释放的宏脚本，会先下载第二阶段载荷，再通过计划任务实现持久化，随后窃取浏览器凭据并尝试横向移动。运营人员需要把“单个样本”放到“攻击链”中理解，而不是孤立地看文件哈希。

攻击链在终端上的体现

以常见的攻击链模型为参照，终端上的关键节点如下：

  • 初始访问：钓鱼附件、恶意链接、漏洞利用（浏览器、Office、VPN 客户端）、可移动介质、供应链投毒。
  • 执行：用户双击文档触发宏，或脚本解释器（powershell.exe、wscript.exe、mshta.exe）被调用。
  • 持久化：注册表 Run 键、启动目录、计划任务、服务、WMI 事件订阅、登录脚本。
  • 权限提升：利用本地提权漏洞、滥用服务权限、窃取管理员令牌。
  • 防御规避：关闭杀软、混淆脚本、白利用（LOLBins）、进程注入、无文件落地。
  • 凭据访问：读取 LSASS 内存、抓取浏览器保存的密码、Kerberoasting。
  • 发现与横向移动：扫描内网、SMB/WinRM/RDP 连接、远程计划任务。
  • 影响：加密文件、删除卷影副本、外传数据、植入挖矿程序。

终端检测与响应（EDR）的价值，正是在这些节点上留下可观测的遥测：进程创建、命令行参数、父子进程关系、网络连接、文件与注册表改动、模块加载、脚本块日志等。

终端攻击链与关键威胁手法映射 攻击阶段 → 终端可观测点 → 典型威胁类型 初始访问 钓鱼 / 漏洞利用 执行 宏 / 脚本解释器 持久化 计划任务 / 注册表 防御规避 无文件 / 白利用 横向移动与影响 SMB / 勒索 / 挖矿 终端可观测点（EDR 遥测） 进程创建与命令行 父子进程关系 网络连接与 DNS 文件 / 注册表改动 模块加载 脚本块日志 凭据访问行为 计划任务变更 服务安装 WMI 活动 典型威胁类型与终端特征 APT 与无文件攻击 PowerShell 内存加载 WMI 事件订阅持久化 勒索软件 批量文件加密 删除卷影副本 挖矿木马 CPU/GPU 持续高占用 矿池连接与算力外联 横向移动与持久化 SMB / WinRM / RDP 远程计划任务与服务 运营要点 • 以攻击链视角关联孤立告警，而非单点判断 • 优先监控脚本解释器、计划任务、WMI、LSASS 访问等高风险行为 • 无文件攻击需依赖脚本块日志与内存行为检测 • 横向移动检测关注“同一账号短时间多主机登录”与远程执行工具链

APT 与无文件攻击

APT（高级持续性威胁）的核心特征是“长期潜伏、定向打击、多阶段组合”。在终端上，APT 往往不会直接投放明显的恶意 EXE，而是借助系统自带工具完成攻击，即“无文件攻击”或“白利用”。典型手法包括：

  • 使用 powershell.exe -enc 执行 Base64 编码命令，载荷仅在内存中解密运行。
  • 通过 mshta.exe、regsvr32.exe、rundll32.exe 加载远程脚本或 DLL。
  • 利用 WMI 事件订阅实现持久化，恶意代码存储在 WMI 仓库中而非文件系统。
  • 通过反射式 DLL 注入，将恶意模块直接加载进合法进程内存。

这类攻击的检测难点在于：磁盘上没有恶意文件，传统杀毒扫描难以命中。运营上应重点采集 PowerShell 脚本块日志（事件 ID 4104）、进程命令行完整参数、模块加载记录，并对“Office 进程启动 PowerShell”“脚本解释器发起外联”等异常父子关系建立检测规则。

勒索软件与挖矿

勒索软件在终端上的行为链通常非常明显：先通过钓鱼或漏洞获得初始访问，再窃取凭据、关闭安全软件、删除卷影副本（vssadmin delete shadows），随后批量加密文件并留下勒索信。检测上可关注：短时间内大量文件被重命名或修改、卷影副本删除命令、加密文件扩展名批量出现、以及异常的高频磁盘写入。

挖矿木马则表现为资源滥用型威胁。终端 CPU 或 GPU 长时间接近满载、风扇持续高速、出现与矿池地址的周期性网络连接（常见端口 3333、4444、5555、7777 等）。运营中可结合性能基线与网络外联情报进行识别，避免仅凭单一指标误判。

横向移动与持久化

横向移动是攻击者从单台终端扩散到内网其他主机的过程。常见终端侧手法包括：使用 PsExec、WMI、WinRM 远程执行命令；通过 SMB 共享投放载荷；利用 RDP 登录其他主机；使用窃取到的凭据进行 Pass-the-Hash 或 Pass-the-Ticket。检测信号包括：同一账号在短时间内登录多台主机、远程服务创建、异常的管理共享访问、以及非管理员时段的远程执行行为。

持久化则确保攻击者在重启或清理后仍能回来。终端上常见的持久化位置有：注册表 Run/RunOnce 键、启动文件夹、计划任务、Windows 服务、WMI 事件订阅、登录脚本、以及浏览器扩展。运营人员应建立持久化点的基线清单，对新增或修改项进行告警，而不是等到下一次攻击发生才被动排查。

运营提示：面对终端威胁 landscape，建议以“攻击链阶段 + 终端可观测点 + 威胁类型”三维矩阵组织检测规则。每个阶段至少覆盖 2～3 个高价值遥测源，并定期用红队模拟或原子测试（Atomic Red Team）验证规则有效性。

理解威胁全景之后，下一步才是把这些认知转化为可落地的检测、响应与加固动作。终端安全运营的本质，是在攻击链的每一个节点上，尽可能早地发现异常、尽可能快地阻断扩散、尽可能完整地保留证据。

← 上一章 📖 返回目录 下一章 →