某个周一的渗透早晨，我盯着安全运维后台，防护一条告警弹了出来：内网某台财务主机正向外网IP发起大量异常连接。渗透点进去一看，防护来源进程是渗透svchost.exe——但哈希值对不上。这是防护典型的横向渗透前兆，攻击者已经拿下一台低权限机器，渗透正试图用凭证哈希传递的防护方式，摸向域控。渗透

360的防护横向渗透防护，做的渗透就是拦下这一步。它不像传统杀软那样只盯文件，防护而是渗透盯行为。攻击者在内网里跳，防护总得用工具：PsExec、渗透WMI、计划任务、远程服务。这些工具本身可能是合法的，但使用方式不对劲——比如你用管理员权限在凌晨三点批量连接十几台服务器，这就不对劲。

防护机制的核心，是“登录会话”的监控。攻击者拿到哈希后，会尝试用pass-the-hash的方式建立远程登录。360会在内核层挂钩认证过程，一旦发现某个账户在短时间内从多台机器发起登录请求，或者登录源IP与历史行为不符，就直接阻断。我见过一次真实案例：攻击者用域管理员哈希尝试登录七台服务器，到第三台时就被切断了。

它还有一招是“诱饵”设计。内网里故意放几个假账户，密码设成弱口令，但从不实际使用。一旦有人用这些账户登录，系统立刻触发高优先级告警。这招对自动化横向工具特别有效，因为它们通常会先试一批常见账户。

不过我最欣赏的是它的“隔离响应”逻辑。发现横向行为后，不是简单断开连接，而是自动定位到源头主机，然后限制其网络访问权限——只允许它访问必要的业务系统，其他一律拒绝。这样既能保住业务连续性，又能把攻击者困在一个小圈子里。有一次，攻击者从一台文件服务器跳到数据库服务器，刚建立连接就被隔离，后续的SQL注入命令全被拦在网关层。

说个缺点吧。它对某些老旧的、不走标准API的渗透工具有时会漏报。比如有人用自定义的C++工具直接调用底层Socket来传文件，不走SMB协议，那防护就抓不到。但这类工具需要攻击者事先编译好，实战中很少见。

日常使用中，我建议把防护策略调成“严格模式”，虽然会增加一些误报，但内网安全本来就是宁可错杀。再配合定期的账号权限清理，把那些半年没登录的僵尸账户禁用掉，效果会更好。

横向渗透最怕的不是技术多高，而是你毫无感知。360这套东西的价值在于，它把攻击者的每一步都变成了一次需要解释的行为。解释不了，就阻断。