① 项目背景
东河区一家外贸企业，防火墙告警里发现内网一台财务部电脑每天凌晨三点到五点持续向两个境外IP发起HTTPS连接，上传流量稳定在每小时300MB左右。网管先杀毒，工具报干净，就想着拔网线了事。我到场第一句话：别拔线，先留现场——失陷主机的处置顺序错了，证据链就断了，挖不干净它还会换个方式回来。
② 咨询设计
排查按取证流程走。第一步内存先行：用取证工具对运行中的机器做内存镜像，再对系统盘做扇区级镜像，原盘封存不上电。第二步从镜像分析：内存里发现一个伪装成系统更新的进程，持久化在计划任务加注册表Run键双保险，主模块加载在合法进程里（进程注入）；磁盘上它的落点在用户临时目录，文件属性隐藏加数字签名伪造。第三步溯源：对比防火墙日志确认外连行为从37天前开始，倒查那天有员工收了一封「客户询价单」的邮件，附件是带宏的文档，宏一启用就种下了。结论：典型钓鱼邮件投递加持久化加数据回传，回传内容初判是财务软件的数据库备份目录。
③ 施工规划
处置分两条线并行。清除线：先在内网交换机上把该终端端口隔离到独立VLAN只保留取证通道，防止横向移动；然后基于内存镜像里的模块特征，用EDR对全网120台终端做全盘扫描，确认失陷的只有这一台，另外两台有可疑计划任务但未激活，一并清理。加固线：邮箱网关上开附件沙箱检测，宏文档进沙箱 detonation 一遍再放行；全员密码重置，财务系统密码全部换强口令加双因素；防火墙封禁两个境外IP及同段C段，开启出站流量基线告警——内网向外上传流量超基线3倍自动提醒，别再等37天。
④ 安全补丁
复盘出的洞比病毒本身更值钱：一是财务电脑权限过大，能直接访问共享目录里的全部合同扫描件——我建议按最小权限重划共享目录，财务只读自己业务目录；二是外发流量没人盯，防火墙只管进不管出，这次加出站审计；三是员工没意识到附件风险，我给全员做了一次真实钓鱼演练，20%的人点了模拟钓鱼邮件，这个数字是最好的培训教材。勒索团伙和窃密团伙摸的就是这三个洞，堵上才是这次事件的真正交付物。
⑤ 验收交付
交付物三份：事件处置报告（时间线、IOC指标清单、失陷路径）、取证镜像与证据清单（如涉及报案可移交司法）、加固整改清单及验证记录。处置后连续观察30天：出站流量回归基线，无可疑外联，EDR全网无告警复发。给管理层讲明白一件事：这次没丢钱，但数据库备份外传了37天，哪些客户资料受影响要按合规要求评估上报，别捂着。
⑥ 售后承诺
安全事件2小时远程响应，市内4小时到场取证。大年三十电话通，17704868686。季度免费出站流量审计一次，全员钓鱼演练每半年一轮。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）