当“仅记录”变成“已阻止”——两个日志背后的攻击链
2026年9月22日，某台运行Windows Server的机器在火绒安全日志中出现了两段截然不同却紧密关联的记录。第一段是持续超过10小时的RDP多源爆破攻击，在短短几分钟内，来自58.208.85.190、193.142.146.104、37.77.10.111等数百个不同IP的远程连接，以每分钟数十次的频率持续尝试登录3389端口，而火绒的处置结果是 “仅记录” 。第二段则是一条孤立的WMI调用记录：来自180.121.2.66的远程WMI调用被火绒成功 “已阻止” ，目标端口135，调用的CLSID正是WMI远程登录的标准接口。
这两条日志放在一起看，构成了一条清晰的攻击链：攻击者通过RDP多源爆破获取了初始访问权限，随后尝试利用WMI进行横向移动，而火绒在第二阶段成功拦截了横向移动的企图。
RDP至今仍是企业网络中被滥用最严重的远程访问入口之一。攻击者不再依赖机会性访问，而是通过自动化扫描、凭据填充框架和后期利用工具包持续且大规模地针对RDP服务，任何暴露或保护薄弱的端点都可以在几分钟内被识别和测试。多源爆破正是这种自动化攻击的典型形态——它利用大量不同IP在短时间内协同尝试登录，单个IP的频率被刻意压低以规避基于阈值的单源检测，但整体行为模式暴露了协同攻击的特征。
火绒的“仅记录”模式意味着攻击行为被识别但没有被主动拦截，这为后续的WMI横向移动埋下了伏笔。而第二段日志中“已阻止”的处置结果则说明，火绒的横向渗透防护在攻击者试图从一个受感染节点向其他主机移动时发挥了关键作用。
第一部分：RDP多源爆破——原理、日志解读与应急响应
1.1 多源爆破的技术特征
多源爆破与传统的单源暴力破解有本质区别。单源攻击表现为单个IP在短时间内高频尝试登录，容易被基于频率阈值的防护规则识别和封禁。多源攻击则采用 “分布式协同” 策略：攻击者控制一个由大量被感染主机组成的僵尸网络，每个IP只进行少量尝试，但数十乃至数百个IP同时工作，整体尝试速率极高。攻击者还会结合凭据填充、密码喷洒以及住宅代理轮换来进一步规避速率限制和地理封锁。
火绒的暴破攻击防护模块通过分析特定时间窗口内访问同一本地端口的远程IP数量和尝试频率来识别此类攻击。当多个不同远程IP协同尝试登录同一端口时，触发多源暴破检测。日志中展示的“部分可疑远程地址”列表中，58.208.85.190在几乎所有时间段的日志中都出现，而193.142.146.104、37.77.10.111、106.58.219.131、196.196.254.2等IP也反复出现，构成了一个稳定的攻击IP池。
火绒的多源攻击检测提供高、中、低三档灵敏度，默认中档可覆盖绝大多数暴破场景，高灵敏度能识别低频率试探类攻击，低灵敏度则专注于高频密集暴破。该功能支持RDP（3389）、SQL（1433）、SMB（445）、RPC（135）、FTP（21）五大高频暴破协议的精细化防护，各协议可独立配置防护开关。
1.2 火绒日志的解读要点
面对多源爆破日志，安全人员需要快速提取关键信息：协议（RDP/SMB/SQL等，决定后续加固方向）、防御结果（仅记录/已阻止，决定当前风险等级）、本地地址（确认被攻击的服务端口）、可疑远程地址列表（用于IP封禁和情报分析）。
在本案例中，防御结果为“仅记录”，说明火绒识别了攻击但未自动拦截。火绒的多源攻击处理逻辑是：检测到多源暴破行为后仅记录日志不拦截，这与单源攻击的“自动阻止”模式不同。这意味着需要管理员手动介入，将攻击IP加入黑名单或启用更严格的防护策略。
另一个值得注意的细节是，火绒在5分钟内对同一远程IP加同一协议的重复暴破攻击不会重复记录日志，这减少了日志冗余。但本案例中日志时间跨度超过10小时且记录密集，说明攻击IP池规模较大、攻击持续时间长。
1.3 应急响应：从封禁到加固
第一步：紧急封禁攻击IP
火绒的IP黑名单功能支持批量添加，可以将日志中反复出现的恶意IP一次性导入。更精细的做法是利用IP协议控制功能，创建规则只允许信任的IP访问3389端口，默认阻止其他所有IP。例如，设置一条规则允许特定管理终端的IP访问RDP端口（优先级1），再添加一条阻止所有IP访问RDP端口的规则（优先级2），即可实现白名单式访问控制。
第二步：启用自动阻止
如果业务允许，可以将火绒暴破攻击防护的“发现多源暴破攻击处理方式”从“仅记录”改为 “自动阻止” 。火绒的自动阻止模式会临时关闭被攻击的端口60分钟，期间所有连接（包括合法连接）都会被阻断。这是一种“壮士断腕”的策略，需要在安全性和可用性之间做出权衡。
第三步：排查系统是否已被入侵
多源爆破的最终目标是成功登录。必须立即检查Windows安全日志中的事件ID 4625（登录失败）和事件ID 4624（登录成功），筛选来源IP为日志中可疑远程地址的记录。如果发现来自攻击IP的成功登录（4624），说明凭据已经泄露，需要立即修改所有管理员账户密码并运行全盘病毒扫描。
第四步：RDP服务加固（治本之策）
RDP加固需要从网络暴露面、身份认证、会话安全三个层面系统推进。
网络暴露面收敛是最有效的措施。永远不要将RDP直接暴露在互联网上——这是行业共识。正确的做法是通过VPN或RD Gateway接入内网后再进行RDP连接。如果必须暴露，至少应修改默认的3389端口为50000-60000之间的高位端口，这可以显著降低被自动化工具扫描发现的概率。修改端口需要同步修改注册表两处位置（RDP-Tcp和rdpwd\Tds\tcp），并更新防火墙入站规则。
身份认证加固包括三个关键配置：启用网络级别身份验证，要求用户在建立完整会话前先完成身份验证，限制未认证的探测行为；配置账户锁定阈值，在定义次数的失败登录后锁定账户，直接干扰密码喷洒活动；部署多因素认证，即使密码被破解，攻击者也无法完成登录。
会话安全方面，应强制对RDP会话进行TLS加密，并考虑使用远程凭据保护来防止凭据在远程会话中被窃取。
第二部分：WMI横向移动——无声的“就地取材”攻击
2.1 为什么WMI成为横向移动的首选工具
WMI的远程访问能力基于DCOM和RPC，默认使用TCP 135端口进行初始通信。攻击者选择WMI进行横向移动，核心原因是 “就地取材” 策略——利用操作系统自带的合法管理工具执行恶意操作，不依赖外部恶意软件文件。
这种攻击方式对传统安全检测构成了独特挑战。由于WMI操作完全驻留在易失性内存中，绕过了物理磁盘，不会留下可供签名匹配的永久性证据。CrowdStrike 2026年全球威胁报告发现，34%的交互式入侵中出现了基于WMI的横向移动，较上一年度的29%有明显增长。
本案例中火绒拦截的CLSID {8BC3F05E-D86B-11D0-A075-00C04FB68820} 是WMI的 IWbemLevel1Login 接口，攻击者通过它建立远程WMI连接，这是WMI横向移动的标准第一步。火绒的拦截点非常关键——它在攻击者尝试建立连接的阶段就切断了攻击链。
火绒官方明确指出，远程WMI调用需要攻击者已经掌握了本机的有效用户名和密码，并且该账户拥有管理员权限。这意味着攻击者很可能已经通过第一阶段的RDP爆破或其他方式获取了凭据。这也是为什么在拦截WMI调用后，立即修改本机所有管理员密码成为最紧迫的后续动作。
2.2 火绒横向渗透防护的配置逻辑
火绒的横向渗透防护默认开启，其中 “远程WMI调用”和“远程MMC调用”两项功能默认关闭，其余如“默认共享访问”“远程服务创建”“远程计划任务创建”“远程注册表篡改”“远程DCOM调用”五项默认开启。
这种默认设置的设计考量是平衡安全性与易用性。远程WMI调用是企业内网中合法的管理手段，IT管理员通过WMI远程收集硬件信息、监控服务状态、执行自动化脚本。如果默认开启拦截，会导致这些正常管理功能失效。因此火绒选择将开启的主动权交给用户——对于确认不需要远程WMI管理的环境，手动开启即可获得更严格的防护。
开启方式为：进入火绒 〖防护中心〗→〖网络防护〗→〖横向渗透防护〗 ，找到“远程WMI调用”，将开关手动开启。
2.3 限制WMI远程访问的四种方法
方法一：通过Windows防火墙限制（推荐用于个人或小型环境）
WMI远程连接依赖RPC（TCP 135）进行初始通信，随后动态分配端口。最直接的方式是禁用WMI相关的入站防火墙规则组：
netsh advfirewall firewall set rule group="Windows Management Instrumentation (WMI)" new enable=no
此命令会禁用名为“Windows Management Instrumentation (WMI)”的所有入站规则。需要注意，这会同时阻止合法的远程WMI管理工具（如SCCM、监控软件）。如果这些工具是必需的，应改用方法三或方法四。
方法二：通过组策略集中管理（适用于域环境）
在域环境中，可以通过组策略统一配置。CISA建议，WMI通信应阻止工作站到工作站、以及工作站到非域控和非文件服务器的通信，只允许从管理服务器到被管理设备的WMI流量。具体实现方式是创建GPO，配置Windows防火墙限制WMI入站通信，或为WMI分配静态DCOM端口（默认静态端口为TCP 24158）并阻止该端口。
方法三：配置DCOM权限进行精细控制（推荐用于企业环境）
WMI远程连接通过DCOM建立。可以修改DCOM的启动和激活权限，只允许特定用户或组进行远程调用。通过 dcomcnfg 打开组件服务，导航至“组件服务→计算机→我的电脑→属性→COM安全”，在“访问权限”和“启动和激活权限”中，移除 Everyone 或 ANONYMOUS LOGON 的远程访问和远程激活权限，仅添加需要远程WMI管理的特定用户或组。这种方法比简单的防火墙阻断更精细，能够在保留必要管理功能的同时阻断未授权访问。
方法四：禁用或监控WMIC.exe（针对攻击工具）
CISA发布的防御指南明确指出，禁用或监控 wmic.exe 的执行可以阻止或告警攻击者利用WMI进行横向移动或持久化。实现方式有两种：通过攻击面减少规则阻止WMI命令创建的进程运行，或通过Windows Defender应用程序控制策略直接阻止 wmic.exe 执行。
监控方面，需要关注以下事件源：Windows安全日志事件ID 4688（新进程创建）中是否出现 wmic.exe 或 wmiprvse.exe；WMI-Activity/Operational日志的事件ID 5857、5858、5859、5861，其中5861表示创建了永久性的WMI事件订阅，是攻击者用于持久化的高危信号。
2.4 WMI远程访问的合法使用场景
理解WMI远程访问的合法用途，有助于在加固时做出合理的权衡。WMI远程访问主要用于四类任务：资产清点（远程收集硬件规格、已安装软件列表、操作系统版本）、配置与部署（远程安装MSI软件包、修改系统配置、部署更新补丁）、状态监控（远程查询服务状态、系统性能数据、事件日志）、远程操作与自动化（远程启动/停止进程、重启计算机、执行脚本）。这些场景通常由系统管理员通过PowerShell脚本或SCCM、监控软件等工具自动执行，以实现大规模Windows环境管理。
第三部分：纵深防御——从“拦截单点”到“阻断链路”
3.1 两条攻击路径的关联分析
本案例揭示的是一条完整的攻击链：初始访问（RDP多源爆破）→ 凭据获取 → 横向移动（WMI远程调用） 。RDP多源爆破的目的不仅是直接登录，更是通过大量尝试筛选出有效凭据。一旦攻击者成功登录一台机器，WMI就成为向网络内其他主机扩散的理想工具。
防御的关键在于在多个环节设置阻断点。火绒在RDP阶段记录了攻击但未拦截，在WMI阶段成功拦截了横向移动——这说明防护在第二道防线起了作用。但从纵深防御的角度，更好的策略是在第一道防线就进行干预，避免攻击者获得任何初始立足点。
3.2 三层防御体系
第一层：暴露面收敛。 核心原则是不将RDP和WMI服务直接暴露在网络可达范围内。RDP应通过VPN或RD Gateway访问；WMI通信应限制在工作站与域控/文件服务器之间，阻断工作站之间的WMI调用。
第二层：身份与凭据加固。 启用NLA、配置账户锁定策略、部署MFA。对于WMI横向移动，最关键的是最小化管理员凭据的暴露面——使用Windows LAPS自动管理本地管理员密码，避免在所有计算机上使用相同的本地管理员密码组合。
第三层：检测与响应。 集中化日志管理，围绕Windows事件ID 4625（登录失败）、4624（登录成功）、4776（凭据验证） 建立告警规则。对于WMI，监控WMI-Activity/Operational日志中的事件ID 5857-5861，以及安全日志中 wmiprvse.exe 是否产生了 cmd.exe 或 powershell.exe 子进程。
3.3 快速响应清单
RDP多源爆破响应清单：
- 将日志中反复出现的恶意IP批量加入火绒IP黑名单或IP协议控制白名单
- 检查Windows安全日志事件ID 4625/4624，确认是否存在成功登录
- 若发现成功登录，立即修改所有管理员账户密码并运行全盘扫描
- 将RDP默认端口从3389修改为50000-60000之间的高位端口
- 启用网络级别身份验证
- 评估部署VPN或RD Gateway的可行性
WMI横向移动响应清单：
- 确认火绒横向渗透防护中的“远程WMI调用”已开启
- 将攻击源IP加入黑名单
- 立即修改本机所有管理员账户密码
- 在火绒中限制WMI远程访问（防火墙规则或DCOM权限）
- 检查WMI-Activity/Operational日志（事件ID 5857-5861）是否存在异常事件订阅
- 使用WDAC或ASR规则禁用或监控
wmic.exe的执行
3.4 一条被阻断的攻击链
回到开篇的案例。RDP多源爆破持续了超过10小时，火绒的“仅记录”模式意味着攻击者理论上获得了充足的尝试窗口。但WMI调用被成功拦截，说明火绒的横向渗透防护在攻击者尝试从受感染节点向其他主机移动时发挥了作用。
这提醒我们：安全防护的价值不仅在于拦截了多少攻击，更在于在攻击链的哪个环节进行了阻断。在RDP阶段拦截可以阻止初始访问，在WMI阶段拦截可以阻止横向扩散，在凭据修改阶段响应可以消除已泄露凭据的风险。每一层防护都有其不可替代的作用，而纵深防御的本质是让攻击者在每个环节都面临被检测和阻断的风险。
1863
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
