① 项目背景：凌晨3点17分，多了一个管理员
青山区某制造企业，域控日志显示凌晨 3:17 有人用 svc_backup 账号登录了文件服务器，创建了一个新域管理员，10 分钟后删除。IT 主管第二天才发现。外包运维商说不是他们，但他们有 VPN 账号，日志又只留了 7 天。
② 咨询设计：从进程树倒推
部署 EDR（火绒企业版 + 深信服 EDR 做对比），开启进程树与命令行审计。三天后抓到：explorer.exe 拉起 powershell.exe -enc（Base64 编码），再拉起 net.exe user add，父进程是远程桌面会话。溯源到 VPN 分配的 10.8.0.66，对应外包商的运维笔记本，笔记本上有挖矿木马，攻击者借它的 VPN 通道进来。
③ 施工规划：权限与通道一起收
VPN 改证书 + 短信双因子，外包账号只在工单时间段生效；域管账号改 tier 模型，日常运维用委托权限，不給 Domain Admin；服务器开 PowerShell 约束语言模式与脚本块日志（4104）。EDR 策略：禁止 Office 子进程拉起 powershell，拦截未签名驱动加载。
④ 安全补丁：驱动层才是真正的战场
攻击者最后一步是装了个带签名的易语言驱动做进程保护。EDR 的驱动拦截规则我设成：非 WHQL 签名、非白名单哈希的驱动一律阻断并告警；开 HVCI（内存完整性），防止内核补丁。很多客户觉得装了杀软就安全，但实际上杀软看文件，EDR 看行为，驱动层没人管就是后门。
⑤ 验收交付：红队复测
我们自己模拟一次：用外包账号登录，尝试创建管理员，EDR 3 秒内阻断并告警到钉钉；尝试加载测试驱动，被 HVCI 拒绝。日志留存改成 180 天，SIEM 每日聚合。给管理层出了份权限收敛清单，删掉 11 个僵尸账号。
另外做了三件事：域内开 LAPS，本地管理员密码每台随机；SMB 签名强制，防中继；RDP 只允许跳板机 IP，且开 NLA。外包商的笔记本要求装我们指定的 EDR 才能连 VPN，做设备合规检查，补丁级别不够直接拒。日志统一送 SIEM，保留 180 天，冷数据归档到对象存储。
EDR 策略先跑两周观察模式，摸清误报，不然生产服务器上的 PLC 编程软件会被当可疑进程杀掉。白名单按哈希加签名双条件，别只写路径。告警分级：阻断类直接电话，观察类进日报。
⑥ 售后承诺：出事别关机，先拔网线
勒索和入侵的应急我们 24 小时接，包头本地 2 小时到场，17704868686。记住：中招先断网、别重启、别删文件，留证据比抢修重要。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）