2026-10-28 · 技術
單臺機器中招往往只是開始，真正造成大面積停服的是內網缺少隔離。本文從憑證複用、同網段互通、共享控制面三條路徑講清橫向移動，並給出四步隔離做法。
安全事件裡最容易被低估的一句話是"只是一臺機器被攻破"。現實往往相反：第一臺機器淪陷只是起點，接下來幾個小時裡攻擊者會在內網橫向移動，直到整片業務停擺。 近期公開披露的一起雲服務商事件很能說明問題。該平臺承載了兩萬多臺雲主機，攻擊者從一臺租戶機器切入，最終導致全部機器下線重構。復盤列出的原因裡沒有一條是高深的零日漏洞，全是配置問題：運維處理工單時，用擁有整個域最高許可權的管理員賬號直接登入客戶機器，會話結束後憑證殘留在不受信任的機器上；遠端桌面預設開啟本地磁碟重定向，客戶端磁碟被對映到被控機器，攻擊者順著這條隧道讀到了內部共享檔案；兩萬多臺主機掛在同一個扁平的身份體系下，沒有東西向隔離，拿到一個高權身份就能全網漫遊。 抽象一下，這就是橫向移動的三條常見路徑。第一條是憑證複用，幾十臺機器共用同一個 root 密碼或同一把 SSH 私鑰，洩露一處等於全部洩露。第二條是同網段無隔離，機器之間任意互訪，掃到就試、試通就打，中間沒有任何一層訪問控制。第三條是共享控制面，資料庫、Redis、NFS、映象倉庫、Docker socket 允許內網任意來源訪問，等於準備好了一組跳板。 對應的隔離做法有四步，按投入產出比排序。第一，按業務劃分網段，安全組改成預設拒絕、按需放行，測試環境與生產環境不要放在同一網段，這一步能擋掉大部分順手掃到的情況。第二，運維賬號一機一密，停用全網通用的 root 密碼，統一走跳板機並留存操作審計，高許可權賬號不用於日常登入業務機器。第三，資料庫、快取、物件儲存只允許應用層網段訪問，管理埠不對辦公網開放。第四，遠端桌面與 SSH 關閉磁碟重定向、埠轉發這類便利功能，除非有明確業務需要。 隔離做完還要補一件容易忽略的事：定期檢查內網到底有哪些埠是通的。很多企業預設內網都是"自己人"，實際上內網是所有失陷機器的放大器。 加速IDC 的雲伺服器與物理伺服器支援獨立網段與安全組隔離，可按業務線拆分內外網訪問關係，配合高防清洗與 CDN 隱藏源站，把攻擊面收斂在可控範圍內。
