网络风险排查报告

凌晨两点，网络我盯着防火墙日志里那条反复出现的风险异常请求，心里咯噔一下——有人在用合法账号尝试遍历订单接口，排查频率不高，报告每分钟三次，网络但持续了整整四十分钟。风险这不是排查正常用户该有的行为。第二天一早，报告我把这份日志连同其他几处可疑痕迹整理成一份排查记录，网络就是风险下面这些内容。

先说说这次排查的排查起因。上周三，报告运维同事在巡检时发现一台边缘节点的网络CPU占用率从平时的12%跳到了47%，持续了大概两小时。风险他以为是排查被挖矿了，但查了进程列表，没发现异常。我接手后，先看了那台机器的网络连接：对外有大量短连接，目标IP集中在三个C段，端口全是443。再查DNS请求日志，发现它反复解析几个看起来像随机字符串的域名，比如“a3f9k2.example.com”。这明显是C2通信的特征，只是流量被伪装成了正常HTTPS。

顺着这条线，我回溯了最近七天的全量流量。结果更让人不安：内网有三台办公电脑在非工作时间向同一个外部IP发送了心跳包，间隔精确到秒。其中一台是财务部的，那台机器上个月刚中过钓鱼邮件。我找财务同事确认，她说最近没点过奇怪链接，但浏览器里多了一个“PDF转换工具”的扩展。装上去之后，她没觉得有什么异常，只是偶尔弹广告。我让她把扩展卸载，再用沙箱跑了一遍——果然，那个扩展会读取所有打开的标签页URL，并定期打包外发。

这还没完。我在排查数据库审计日志时，注意到一个更隐蔽的问题：某个离职员工账号在两周前被重新启用了，登录地点是海外。按理说，离职当天就该禁用。问了一圈，HR说流程走了，但IT那边漏掉了。这个账号权限不低，能查用户手机号和部分订单地址。好在它只登录了两次，每次不到三分钟，看起来像是在试探。

把这些点串起来，风险画像就清楚了。攻击者没有用零日漏洞，全是“合法工具滥用”加“内部流程漏洞”。钓鱼扩展是入口，离职账号是跳板，边缘节点是流量中转，最终目标大概率是拖库。手法不算高明，但足够隐蔽，因为每一步都混在正常业务里。

接下来我做了几件事。第一，把那个扩展的哈希值加入终端黑名单，同时推送全公司扫描，又发现了两台机器装了类似的东西。第二，强制所有离职账号在HR系统确认后自动触发禁用脚本，不再依赖人工。第三，给边缘节点加了出站流量基线告警，凡是短连接数突增或DNS请求熵值过高的，直接限速并通知。第四，把财务部那台机器重装了，顺便查了浏览器保存的密码——果然，有几个弱密码，已经让当事人改掉了。

最后说个细节。清理完这些之后，我又去看了那个C2域名的解析记录。发现它其实注册了快半年，一直没动静，直到上个月才开始活跃。这说明攻击者很有耐心，先埋点，等时机。我们这次能发现，一半靠运气——要不是运维同事多看了一眼CPU，可能还要拖更久。所以别迷信什么高级威胁检测，日常巡检里那些“不对劲”的小数字，往往比告警平台更早说话。

这份报告没写什么“建议加强安全意识培训”之类的套话。该修流程修流程，该封端口封端口。网络风险排查这件事，落到实处就是一个个具体的IP、账号和日志行。你盯着它们看久了，它们会告诉你哪里出了问题。