containing-active-breach

遏制活跃入侵

适用场景

• 已确认入侵正在进行，网络中仍有活跃的攻击者
• 恶意软件正在终端或服务器之间横向传播
• 已遭入侵的账户正被用于对系统的未授权访问
• 已检测到勒索软件加密，且正在主动扩散
• 攻击者已从内部主机建立命令与控制通信

不要使用于攻击者已不再活跃的事后清理；此类情况应使用根除流程。

前提条件

• 经分诊确认事件分类为 P1 或 P2 严重级别
• 具备主机隔离能力的 EDR 控制台访问权限（CrowdStrike Falcon、Microsoft Defender for Endpoint、SentinelOne）
• 用于网络隔离的防火墙与交换机管理访问权限
• 用于凭据操作的 Active Directory 或身份提供商管理访问权限
• 事件响应计划中记录的预先批准的遏制授权
• 证据保全计划，以避免在遏制过程中破坏取证工件

工作流

步骤 1：评估遏制范围

在采取遏制行动之前，先梳理完整的失陷范围，以避免部分遏制惊动攻击者：

• 通过 EDR 遥测与 SIEM 关联识别所有已确认失陷的主机
• 使用身份验证日志（Windows 事件 ID 4624 Type 3 和 Type 10）梳理横向移动路径
• 识别所有已泄露的凭据（检查是否存在 pass-the-hash、Kerberoasting、DCSync 活动）
• 确定 C2 通道（信标间隔、域名、IP、协议）
• 评估攻击者是否拥有域管理员或同等权限

Containment Scope Assessment:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Compromised Hosts:     5 (WKSTN-042, WKSTN-087, SRV-FILE01, SRV-DC02, WKSTN-103)
Compromised Accounts:  3 (jsmith, svc-backup, admin-tier0)
C2 Channels:           HTTPS beacon to 185.220.x.x every 60s ± 15% jitter
Lateral Movement:      PsExec via svc-backup, RDP via admin-tier0
Adversary Privilege:   Domain Admin (admin-tier0 compromised)
Data at Risk:          Finance share (\\SRV-FILE01\finance$) accessed

步骤 2：执行短期遏制

实施即时行动以阻止攻击者的操作，同时不破坏证据：

网络遏制：

• 通过 EDR 网络遏制隔离已确认失陷的终端（保持 Agent 通信）
• 在边界防火墙和内部 DNS 上封锁 C2 IP 地址和域名
• 实施微分段规则，阻止失陷主机之间的通信
• 在内部 DNS 上将 C2 域名进行 Sinkhole，以捕获尚未发现的植入程序发起的连接尝试

身份遏制：

• 在 Active Directory 中禁用已失陷的用户账户（不要删除；保留审计线索）
• 重置所有已泄露账户的密码
• 撤销活跃会话和令牌（Azure AD：Revoke-AzureADUserAllRefreshToken）
• 禁用已失陷的服务账户并轮换其凭据
• 如果域管理员已失陷：对 KRBTGT 密码执行双重重置（重置两次，间隔 12 小时）

终端遏制：

• 使用 EDR 终止已遏制主机上的恶意进程
• 在 EDR 防护策略中封锁已知的恶意哈希
• 隔离已识别的恶意软件样本
• 在尚未失陷的关键服务器上禁用远程服务（WinRM、RDP、SMB）

步骤 3：执行长期遏制

在调查持续进行的同时实施可持续的遏制：

• 创建网络 ACL，隔离已失陷的 VLAN/子网，同时允许业务关键流量
• 部署临时跳板主机，供管理员访问已遏制系统进行调查
• 在与失陷主机相邻的网段上实施增强监控（完整数据包捕获）
• 在所有域控制器上启用高级审计策略（针对 Kerberos 攻击的 4768、4769、4771）
• 部署金丝雀令牌和蜜罐账户，以检测攻击者试图从遏制范围向外扩展的行为

第 4 步：验证遏制效果

确认遏制措施已阻止对手的操作：

• 监控是否有任何内部主机向已知对手基础设施发起的新的 C2 回调
• 检查是否有新的横向移动尝试（来自已禁用账户的失败身份验证）
• 验证被遏制的主机除通过 EDR Agent 外无法访问互联网
• 确认已泄露的凭据会产生身份验证失败
• 检查 SIEM 中是否有与对手已知 TTP 匹配的任何新告警

Containment Validation Checklist:
[x] C2 beacon traffic ceased from all known compromised hosts
[x] Disabled accounts producing expected 4625 failure events (no new successes)
[x] Contained hosts unreachable via network scan from adjacent subnets
[x] No new hosts exhibiting IOCs from the initial compromise
[x] Honeypot account has not been accessed (adversary may be dormant)
[ ] Full packet capture running on finance VLAN (pending switch config)

第 5 步：在遏制期间保留证据

遏制措施不得破坏取证证据：

• 在任何修复操作之前，从被入侵主机捕获内存转储（使用 WinPmem 或 Magnet RAM Capture）
• 收集易失性数据：正在运行的进程、网络连接、已登录用户、计划任务
• 在相关事件日志轮转之前将其导出（Security、System、PowerShell、Sysmon）
• 捕获被入侵主机与 C2 基础设施之间的网络流量
• 用时间戳记录所有遏制操作，以构建事件时间线

第 6 步：沟通遏制状态

向事件指挥官和利益相关者提供结构化状态更新：

• 当前遏制效果（已阻止的对手活动百分比）
• 剩余风险（未发现的植入物、尚未识别的持久化机制）
• 遏制操作的业务影响（哪些系统离线、用户影响）
• 根除阶段的预计时间线
• 升级需求（执法机构通知、外部 IR 应急服务激活）

关键概念

术语	定义
短期遏制	阻止对手活跃操作的即时行动；通常是网络隔离和凭据禁用
长期遏制	可持续的措施，允许继续调查，同时防止对手重新访问
KRBTGT 双重重置	两次重置 KRBTGT 密码，使所有现有 Kerberos 票据（包括黄金票据）失效
网络遏制	EDR 功能，将端点与除 EDR 管理通道之外的所有网络通信隔离
横向移动	对手使用窃取的凭据或漏洞利用程序在网络内从一个被入侵系统移动到另一个系统的技术
C2 Sinkholing	将 C2 域的 DNS 查询重定向到内部服务器，以阻止对手通信并检测更多受害者
微分段	工作负载之间的精细网络访问控制，限制横向通信路径

工具与系统

• CrowdStrike Falcon：端点遏制，一键网络隔离，同时保留 Agent 连接
• Microsoft Defender for Endpoint：用于远程遏制操作和证据收集的实时响应控制台
• Palo Alto Networks NGFW：应用感知防火墙规则，用于 C2 流量阻断和微分段
• Velociraptor：开源端点监控与响应工具，用于在遏制期间收集工件
• BloodHound：Active Directory 攻击路径映射，用于识别对手可能利用的潜在横向移动路线

常见场景

场景：勒索软件通过 SMB 横向传播

背景：EDR 在三台文件服务器上发出告警，显示文件被快速加密。勒索软件正利用一个已泄露的域服务账户通过 SMB 传播。

处理方式：

1. 立即通过 EDR 网络隔离功能隔离这三台文件服务器
2. 在 Active Directory 中禁用已泄露的服务账户
3. 在网络交换机层阻止所有服务器 VLAN 之间的 SMB（TCP 445）流量
4. 部署紧急 GPO，在非关键终端上禁用 SMB 服务器服务
5. 在某一台被加密的服务器重启前采集其内存
6. 使用 EDR 威胁狩猎在所有终端上搜索勒索软件二进制文件的哈希值

常见陷阱：

• 立即关闭服务器，破坏易失性内存证据
• 仅禁用已知的已泄露账户，而未检查其他持久化机制
• 在确认攻击者的访问权限已被完全撤销之前，就从备份进行恢复

输出格式

CONTAINMENT STATUS REPORT
=========================
Incident:        INC-2025-1547
Status:          CONTAINED (Short-Term)
Timestamp:       2025-11-15T15:47:00Z
Containment Lead: [Name]

ACTIONS TAKEN
Network:
- [x] 5 hosts isolated via CrowdStrike containment
- [x] C2 IP 185.220.x.x blocked at perimeter FW (rule #4521)
- [x] C2 domain evil.example[.]com sinkholed to 10.0.0.99

Identity:
- [x] jsmith account disabled
- [x] svc-backup account disabled, password rotated
- [x] admin-tier0 account disabled
- [x] KRBTGT first reset completed at 15:30 UTC

Endpoint:
- [x] Malicious hash blocked in EDR prevention policy
- [x] Malware processes terminated on all contained hosts

EVIDENCE PRESERVED
- Memory dumps: 3 of 5 hosts completed
- Event logs exported: all 5 hosts
- Network capture: running on finance VLAN

REMAINING RISKS
- Possible undiscovered implants on non-EDR endpoints (15 legacy hosts)
- KRBTGT second reset pending (scheduled 03:30 UTC +1 day)
- Adversary may have exfiltrated data before containment

BUSINESS IMPACT
- Finance file share offline (affects 42 users)
- 3 user workstations isolated (users reassigned to loaners)
- Estimated restoration: pending eradication completion