2026-10-28 · 技术
单台机器中招往往只是开始，真正造成大面积停服的是内网缺少隔离。本文从凭证复用、同网段互通、共享控制面三条路径讲清横向移动，并给出四步隔离做法。
安全事件里最容易被低估的一句话是"只是一台机器被攻破"。现实往往相反：第一台机器沦陷只是起点，接下来几个小时里攻击者会在内网横向移动，直到整片业务停摆。 近期公开披露的一起云服务商事件很能说明问题。该平台承载了两万多台云主机，攻击者从一台租户机器切入，最终导致全部机器下线重构。复盘列出的原因里没有一条是高深的零日漏洞，全是配置问题：运维处理工单时，用拥有整个域最高权限的管理员账号直接登录客户机器，会话结束后凭证残留在不受信任的机器上；远程桌面默认开启本地磁盘重定向，客户端磁盘被映射到被控机器，攻击者顺着这条隧道读到了内部共享文件；两万多台主机挂在同一个扁平的身份体系下，没有东西向隔离，拿到一个高权身份就能全网漫游。 抽象一下，这就是横向移动的三条常见路径。第一条是凭证复用，几十台机器共用同一个 root 密码或同一把 SSH 私钥，泄露一处等于全部泄露。第二条是同网段无隔离，机器之间任意互访，扫到就试、试通就打，中间没有任何一层访问控制。第三条是共享控制面，数据库、Redis、NFS、镜像仓库、Docker socket 允许内网任意来源访问，等于准备好了一组跳板。 对应的隔离做法有四步，按投入产出比排序。第一，按业务划分网段，安全组改成默认拒绝、按需放行，测试环境与生产环境不要放在同一网段，这一步能挡掉大部分顺手扫到的情况。第二，运维账号一机一密，禁用全网通用的 root 密码，统一走跳板机并留存操作审计，高权限账号不用于日常登录业务机器。第三，数据库、缓存、对象存储只允许应用层网段访问，管理端口不对办公网开放。第四，远程桌面与 SSH 关闭磁盘重定向、端口转发这类便利功能，除非有明确业务需要。 隔离做完还要补一件容易忽略的事：定期检查内网到底有哪些端口是通的。很多企业默认内网都是"自己人"，实际上内网是所有失陷机器的放大器。 加速IDC 的云服务器与物理服务器支持独立网段与安全组隔离，可按业务线拆分内外网访问关系，配合高防清洗与 CDN 隐藏源站，把攻击面收敛在可控范围内。
