事件時間線

2011-08-13，西安某大型企業核心機房值班人員 (宇) 發現防火牆日誌異常：

• 日誌顯示**內部 IP (192.168.10.55)** 發起大量**對外埠掃描/異常連線**。
• 該 IP 對應 MAC `00:1A:2B:3C:4D:5E`，**資產管理系統顯示為財務部台式機 (資產號 FA-2011-0055)**。
• **關鍵矛盾**：該台式機 **當日全天未開機** (機房門禁/電源日誌/監控錄像均可佐證)。

初步判斷與應對

1. 排除 ARP 欺騙：閘道 ARP 表顯示 `192.168.10.55` 對應 `00:1A:2B:3C:4D:5E`，**與資產一致** — 非本地 ARP 欺騙 (否則 MAC 會是攻擊者網卡 MAC)。
2. 排除 IP 衝突：DHCP 租約紀錄顯示該 IP **靜態綁定** 於該 MAC，無其他裝置申請。
3. 鎖定無線側通道：企業部署 **Belkin 路由器 + WPA-PSK (12 位複雜密碼) + MAC 白名單**。攻擊者**破解 WPA-PSK** 並**偽造白名單 MAC** 接入，獲取靜態 IP 發起攻擊。
4. 緊急處置：
   • 立即**輪換 WPA-PSK 密鑰** (20 位隨機字元)。
   • **關閉 DHCP**，改全網靜態 IP / DHCP 保留綁定 MAC。
   • 在防火牆新增規則：**封鎖該 MAC 所有外連**、告警。
   • 啟用 **無線客戶端隔離 (AP Isolation)**、關閉 **WPS**、降低發射功率、調整天線方向減少外洩。

深度溯源 (事後複盤)

• 攻擊者可能使用 **GPU 集群 / 雲端破解平台** 離線跑字典/掩碼攻擊破解 12 位 PSK (熵值不足)。
• 或利用 **WPS PIN 漏洞** (Reaver/Pixie-Dust) 繞過 PSK 直接獲取網路金鑰。
• MAC 偽造：`macchanger -m 00:1A:2B:3C:4D:5E wlan0` 繞過白名單。
• 植入**持久化後門** (參考案例 152356) 實現長期潛伏，本次為「再次發作」。

給同類企業的避坑指南

1. **棄用 PSK，上 802.1X (EAP-TLS/PEAP)** — 每用戶/設備獨立憑證/帳密，支持撤銷、審計、策略下發。
2. **部署 WIPS** (Cisco MSE / Aruba RFProtect / 開源 WIPP) — 實時檢測 Rogue AP、Deauth 攻擊、MAC 偽造、異常流量。
3. **網段微隔離**：無線終端置於**獨立 VLAN**，經防火牆/ACL 訪問內網資源，**最小權限原則**。
4. **資產與身份綁定**：IP-MAC-用戶-設備 四元組綁定，NAC (Network Access Control) 入網驗證健康狀態 (補丁/殺毒/合規)。
5. **日誌關聯分析**：防火牆/交換器/無線控制器/AD/VPN 日誌接入 SIEM，**用戶行為分析 (UEBA)** 發現異常登入/存取/流量模式。
6. **定期紅隊演練**：模擬 WPA 破解、WPS 攻擊、MAC 偽造、Evil Twin、KRACK 等真實戰術，驗證檢測與封鎖效能。

這不是故事，這是每天都在發生的真實攻防。當你看到「離線主機 MAC 在日誌裡活蹦亂跳」時，**戰爭已經開始**。