某千機規模政府單位，擁有高階防火牆與 IDS，突現上網極慢、網頁打不開。機房測試核心交換機 ping 內網正常，ping 外部 DNS 延遲高且間歇丟包。交換機負載高但防火牆/IDS 無告警，清 ARP 表、重啟交換機均無效。最終靠流量分析定位單一受感染伺服器，結合專殺工具清除蠕蟲病毒恢復正常。

故障現象

• 上網速度極慢，甚至無法開啟網頁。
• 核心交換機 ping 內網主機 <1ms 正常；ping 外部 DNS 延遲高、間歇丟包。
• 交換機 CPU/負載偏高，防火牆/IDS 無任何告警。
• 清 ARP 表、重啟交換機均無法解決。

流量分析定位兇手

部署網路分析軟體 (成都科來) 於核心交換機鏡像埠抓包分析：

1. 流量不大但連線數暴增： 2 分鐘僅 140 MB 流量，但連線數達 16,540 次。連線數排序首位：10.8.24.11 (流量 133 MB，連線數遠超其他)。
2. 異常高頻 445 埠掃描： 該 IP 向內網所有位址發送 445 埠 (SMB) 請求，頻率 140 次/秒，典型蠕蟲掃描特徵。

解決過程

1. 即時隔離： 核心交換機拔除 10.8.24.11 網線 → 全網瞬間恢復，外網 ping 正常、網頁秒開。
2. 主機檢查： 該機為重要內部伺服器，發現：
    a. 正在進行大量 BT 下載 (P2P 佔用大量連線資源)。
    b. 感染新型蠕蟲病毒，瘋狂掃描內網 445 埠嘗試橫向移動。
3. 清除恢復： 專殺工具移除蠕蟲 → 伺服器恢復正常 → 重新接入網路無異常。

深度剖析：為何防火牆/IDS 未告警？

• 流量主要為內網橫向掃描 (東西向)，未經防火牆 (南北向) 檢查。
• IDS 簽名庫未包含此新型蠕蟲特徵，或掃描行為未觸發閾值告警規則。
• BT 下載流量加密/混淆，特徵識別困難。

防範建議

1. 部署東西向流量可視化： 核心交換機配置鏡像/NetFlow/sFlow 導出至流量分析平台，持續監控內網異常行為。
2. 內網微隔離： 伺服器區、部門網段部署 VLAN + ACL/防火牆區域，限制 445 等高風險埠橫向存取。
3. 端點防護強化： 關鍵伺服器強制安裝 EDR/防毒、啟用自動修補、關閉非必要服務 (如 SMBv1)。
4. P2P 流量管控： 邊界/核心部署應用識別 (DPI) 設備限制/封鎖 BT 等 P2P 協定。
5. 應急預案演練： 定期演練「單點隔離→樣本分析→專殺清除→驗證回網」全流程，縮短 MTTR。

核心教訓

「防火牆/IDS 無告警 ≠ 網路安全」。內網威脅需內網可視化工具發現。流量分析是暴露隱性威脅的核心手段，網管團隊必須具備抓包分析與異常流量建模能力。