compromise-recovery

入侵恢复

入侵恢复是一个严谨的流程，旨在重大安全事件期间或之后重新获得环境的管理控制权，通过一次协调一致的行动驱逐攻击者，并重新建立可信的安全状态，防止攻击者卷土重来。

何时使用

在确认发生大范围入侵时使用，例如整个租户的 Entra/AD 入侵、勒索软件攻击，或拥有全局管理员或域管理员权限的持久性攻击者；此时常规修复已不足以应对，现有基础设施也无法再被信任。

请勿将此技能用于：

• 常规告警分流或单主机恶意软件处置（使用 defender-xdr）
• 事件发生前的架构加固（使用 security-architecture、entra-id、paw-design）
• Sentinel 威胁搜寻和检测工程（使用 sentinel）

判断所处阶段

情况	阶段	首要行动
已检测到异常，但尚未确认影响范围	调查	搜寻威胁并保全证据，不要打草惊蛇
已确认攻击者，影响范围仍在扩大	遏制	建立可信基础（PAW），保护核心资产
已知攻击者影响范围，准备将其清除	驱逐	针对所有持久化手段采取一次协调一致的行动
已移除攻击者，正在验证其无法重新入侵	恢复	重置 krbtgt、联合身份验证密钥和特权凭据
环境稳定，正在加固以防止再次发生	加固	全面启用 MFA、PIM、PAW，并扩展监控
加固完成，恢复日常运营	移交	移交给持续开展的 SecOps 和改进工作

**经验法则：****绝不要从已遭入侵的环境发起驱逐行动。**应先建立可信基础——专用管理工作站（PAW）、带外通信方式、干净的 Entra 租户，或经过干净重建的管理员帐户。从不可信的基础设施采取行动，会让攻击者实时获知你的应对计划。

应对方法

1. 立即联系合格的事件响应人员 - 对于重大事件，请联系 Microsoft Incident Response 或合格的 DFIR 合作伙伴。延误的代价（再次入侵、勒索软件 双重勒索、监管时限）远高于聘请响应人员的费用。 验证：确认发生入侵后 24 小时内，已联系 IR 合作伙伴。
2. 建立可信赖的基础 - 建立带外通信渠道（单独的 Teams 租户、Signal／语音）、安全的管理员设备（PAW）以及干净的管理员身份路径。 假设现有基础设施（邮件、聊天、跳板主机、管理员帐户）可能已不可信，或正遭 对手监控。 验证：事件响应会议通过带外渠道进行；响应人员从 PAW 或 同等的隔离工作站进行身份验证；未使用遭入侵的管理员帐户。
3. 修复前保留取证证据 - 对受影响系统创建快照，导出登录 日志、审核日志、邮件项目以及 Entra／AD 更改记录。修复后，证据将会丢失； 监管机构和保险公司会要求提供这些证据。 验证：取证采集结果存储在隔离的写保护介质上，并记录证据保管链。
4. 在不惊动对手的情况下遏制 - 限制对手的行动能力：保护关键资产 （特权帐户、联合身份验证／签名密钥、备份凭据），尽可能以隐蔽模式收紧 Conditional Access，并监控已知的对手帐户，但暂不阻止这些帐户。部分驱逐会 警告对手，促使其使用新身份重新巩固立足点。 验证：遏制措施按顺序记录在操作手册中，而非临时采取；除非有意为之，否则 不做任何对手可见的更改。
5. 通过一次协调行动完成驱逐 - 制定计划，按顺序清除所有已知的持久化手段： 遭入侵的帐户（禁用并重置）、应用注册和授权许可（审核并撤销）、邮箱规则和转发 设置（删除）、计划任务／启动项、黄金／伪造的 Kerberos 票证、联合身份验证／SAML 令牌，以及任何新增的管理员角色。争取在一个果断的行动时段内完成，而非进行 零敲碎打的更改。 验证：驱逐操作手册列出每一项持久化手段及其负责人、时间和 验证步骤；执行前已进行演练。
6. 重置身份信任 - 重置 krbtgt 帐户（重置两次，并留出足够的复制 间隔），重置所有特权凭据，轮换联合身份验证／SAML 签名证书，轮换 Entra Connect 同步帐户，并重置对手可能接触过的所有服务主体机密。 验证：krbtgt 重置操作已记录两次；联合身份验证证书轮换已完成；登录日志 显示不再有来自遭入侵令牌的会话。
7. 强化防护，防止再次入侵 - 为所有特权用户和高风险用户强制启用 抗钓鱼多重身份验证，将特权角色纳入 PIM，并通过即时激活和审批进行管理， 为管理员工作部署或扩展 PAW，扩展 Defender + Sentinel 监控，并针对已观察到的 对手 TTP 调整检测规则，同时在整个特权层级应用最小权限模型。 验证：100% 的特权帐户均纳入 PIM 并启用抗钓鱼多重身份验证；为管理员工作 指定 PAW 设备；已针对观察到的特定 TTP 部署新的检测规则。
8. 过渡到 BAU - 移交给持续运行的安全运营和改进计划，包括 90 天的监控期、 有记录的经验教训，以及针对导致最初入侵的缺口所作出的投资承诺。

防护准则

• 聘请合格的事件响应人员（例如 Microsoft Incident Response）处理任何重大事件。超过一定严重程度后，这不是一项可自行完成的工作。
• 谨慎安排清除顺序——部分清除会惊动攻击者，促使其重新巩固立足点。应先规划、演练，再作为一次行动执行。
• 在修复之前保留取证证据，以满足调查、监管或保险方面的义务。清除数据就是销毁证据。
• 绝不要从已遭入侵的基础设施采取行动——在接触攻击者控制的环境之前，先建立可信基础和 PAW。
• 将 krbtgt 重置两次，两次重置之间留出复制间隔——只重置一次，仍会有有效的黄金票证在流通。
• 在 AiTM 时代之后，仅有 MFA 而没有抗钓鱼因素是不够的。将特权用户迁移到 FIDO2 / Windows Hello for Business / 基于证书的身份验证。
• PIM 和最小特权是清除攻击者后不可妥协的要求——如果攻击者是通过常驻特权入侵的，移除常驻特权就是清除攻击者。

常见反模式

• 零敲碎打地清除。 禁用一个遭入侵的帐户会向攻击者示警，促使其转向下一个持久化机制并进一步潜伏。应规划并作为一次协调行动执行。
• 使用已遭入侵的管理员工作站采取行动。 攻击者会实时监视响应并作出调整。始终使用 PAW 或同等设备进行操作。
• 因“密码已经更改”而跳过 krbtgt 重置。 krbtgt 是 AD 的信任根——如果它已被窃取，在重置（两次）之前，所有 Kerberos 票证都可能被伪造。
• 忘记服务主体和应用注册。 现代 Entra 入侵会通过同意授权和应用机密持续存在，即使用户帐户已重置也不例外。
• 过早宣布胜利。 如果没有 90 天的监视期，也没有针对观察到的 TTP 调整新的检测机制，你就无法发现攻击者再次入侵。
• 没有经验总结，也没有投资承诺。 如果不为修复根本原因（MFA 薄弱、没有 PIM、网络扁平、没有 PAW）提供资金，入侵就会再次发生。

示例提示词

• An attacker has Global Admin in our tenant right now. Walk me through evicting them.
• Walk me through the Microsoft incident response process for a ransomware attack.
• How do I evict an adversary from an Entra ID tenant without tipping them off?
• What should I do in the first 24 hours after discovering a tenant compromise?
• How do I harden the tenant after eviction so the attacker cannot return?
• How do I rebuild trust in our admin accounts after a breach?

Microsoft Learn

• 事件响应手册：https://learn.microsoft.com/security/operations/incident-response-playbooks
• 防范勒索软件：https://learn.microsoft.com/security/ransomware/
• 特权访问策略：https://learn.microsoft.com/security/privileged-access-workstations/overview
• Microsoft Incident Response：https://www.microsoft.com/security/business/microsoft-incident-response
• 抗钓鱼 MFA 方法：https://learn.microsoft.com/entra/identity/authentication/concept-authentication-strengths