蠕蟲病毒三階段攻擊鏈
- 掃描：隨機選取 IP 段，發送探測包尋找漏洞主機。新感染主機加入掃描大軍，指數級增長，掃描包風暴導致網絡擁塞癱瘓。
- 攻擊：利用漏洞獲取目標管理員權限（如 MS03-026 RPC、MS04-011 LSASS、MS08-067、MS17-010 永恆之藍）。
- 傳播：利用原/新主機交互通道（SMB、HTTP、TFTP、RDP 等）復制啟動蠕蟲主體，形成蠕蟲網絡。
雙重危害
- 網絡層面：海量掃描包佔滿帶寬，合法業務中斷；
- 主機層面：漏洞主機被控，管理員權限失竊，成跳板/肉雞/勒索軟件跳板。
艾泰寬帶安全網關「檢測-屏蔽」實戰法
步驟一：檢測——從路由器 WEB 管理界面看流量異常
蠕蟲掃描包特徵明顯：
- 感染主機發起大量 NAT 會話；
- 會話特徵：**只有上傳包（發送掃描包），下載包極少或為零**（無正常雙向數據交換）；
- 目標端口集中在高危漏洞端口（135、139、445、1433、3306、3389 等）。
在路由器/網關 Web 界面「上網監控/流量統計/會話表」中即可直觀發現此類「單向高頻會話」主機 IP。
步驟二：屏蔽——路由器策略切斷傳播鏈
- 建立 ACL/防火牆策略：**封鎖該主機對外發起的掃描端口**（或直接封鎖該主機所有出站流量）；
- 隔離主機：將其移入隔離 VLAN/網段，斷開與核心網連接；
- 並行處理：派遣運維上門/遠程進行殺毒、打補丁、修改密碼、排查橫向移動痕跡；
- 驗證清理後，解除隔離恢復業務。
優勢與局限
- ✅ 優勢：無需在每台終端安裝 Agent，網關層可見性全、部署快、對未知蠕蟲同樣有效（基於行為而非特徵）；
- ⚠️ 局限：需管理員人工判斷/確認（可結合流量基線自動化）；無法檢測純內網橫向移動（需部署內網探針/EDR）；加密流量（HTTPS/VPN）可見性受限。
現代化演進：從人工到自動化
現代 NDR (網絡檢測與響應)、XDR、零信任網關已實現：
— 基於機器學習的流量基線自動異常檢測；
— 自動化響應：隔離主機、下發封鎖策略、觸發 EDN 掃描、創建工單；
— 威脅情報聯動：實時匹配惡意 IP/域名/JA3 指紋。
核心邏輯不變：**可見性 + 行為基線 + 自動化遏制**。