网络排查情况报告

早上九点十七分，网络财务部的排查刘姐在群里炸了锅——报销系统转圈转了五分钟，最后直接白屏。情况紧接着，报告销售部那边也传来消息，网络CRM客户列表加载到一半就卡死了。排查这不是情况个例，是报告全网段的问题。

我第一反应是网络查核心交换机。登录设备看CPU，排查好家伙，情况使用率飙到97%，报告平时它老人家悠闲得很，网络也就20%上下晃悠。排查这不是情况正常负载，是有人在搞事情。

排查思路很简单：先看流量特征，再看连接数。抓包分析发现，大量外网IP在疯狂建立TCP半连接，源端口随机，目标端口清一色是443。典型的SYN Flood攻击模式。但奇怪的是，防火墙的DDoS防护策略明明开着，日志里却没看到任何告警触发记录。

这就蹊跷了。防火墙没拦，说明流量量级不大，但足以把内网挤爆。我盯着流量图看了半天，突然意识到问题可能出在内部——有人中了木马，在内网横向扫描。

顺着连接数排序，一台IP为192.168.3.88的办公电脑格外扎眼。它对外建立的连接数超过两千，正常办公机器也就几十条。我远程登录那台机器，任务管理器里躺着一个叫“svch0st.exe”的进程，名字起得跟系统进程“svchost.exe”几乎一样，只差一个数字0和字母o的区别。

查了下这个进程的路径，在用户AppData目录下，不是系统目录。杀毒软件没报，因为这是个白加黑样本——用合法的系统程序加载恶意DLL，绕过了静态查杀。我直接结束进程，隔离文件，然后断网重扫整台机器。清理完后，核心交换机CPU使用率在十分钟内回落到正常水平。

但事情没完。攻击者既然能投递木马，说明网络里至少存在一个入口。我翻了下防火墙的访问日志，发现上周五晚上十一点多，有一台外部IP通过远程桌面协议（RDP）成功登录了这台3.88机器。密码没被爆破，是撞库撞出来的——刘姐的密码是“Liujie@2023”，跟她在某个论坛泄露的密码一模一样。

所以根因链条很清楚：员工密码复用 → 外部撞库成功 → RDP进入内网 → 投放白加黑木马 → 内网横向扫描 → 流量拥塞。这不是高深攻击，全是老套路，但每一步都踩中了防护盲区。

处理措施分三层。第一层，立刻改密码，强制全公司开启多因素认证，尤其对RDP端口，只允许通过VPN访问。第二层，把防火墙的DDoS阈值调低，同时开启针对异常连接数的行为告警，别等设备CPU爆了才通知人。第三层，给那台机器做全盘镜像留存，方便后续溯源。

说实话，这次排查没用到什么高级工具，就是最基础的抓包、看进程、查日志。但暴露出的问题挺扎心：安全设备买了不少，策略配置却存在漏洞，员工安全意识也跟不上。设备再贵，密码还是“名字+年份”的套路，白搭。

现在系统恢复了，但我不敢说下次就不会再出类似状况。网络排查这事儿，很多时候不是技术不够，是细节没抠到位。比如防火墙的告警邮件，默认设置是每小时发一次摘要，攻击发生在半夜，等早上看到邮件，黄花菜都凉了。我把告警改成实时推送，直接发到运维群里，再配个电话语音提醒，才算踏实。

最后补一句，刘姐的密码终于换成了随机生成的强密码，还被她抱怨记不住。但这次没人同情她——毕竟那台电脑差点把整个公司网络拖下水。