内网批量钓鱼邮件投递阻断处置演练脚本

内网批量钓鱼邮件投递阻断处置演练脚本一、演练背景与目标本次演练旨在模拟内网终端主机失陷后，被攻击者利用作为跳板，向内部大量用户投递钓鱼邮件的场景。重点检验安全运营团队对内网横向移动攻击的监测能力、异常流量分析能力、以及对批量恶意邮件投递的快速阻断与应急处置能力。通过全流程实战化操作，验证现有安全设备策略的有效性，提升各相关部门在突发网络安全事件下的协同联动效率，确保在真实发生此类事件时能够将损失控制在最小范围，快速恢复业务正常运行。演练核心目标包括：1.验证态势感知平台或SIEM系统对内网异常SMTP流量的日志采集与告警触发时效性。2.检验邮件网关及内部防火墙策略对内网发起的大规模邮件发送行为的拦截效果。3.考核应急响应小组对失陷主机的定位、隔离及溯源分析的熟练度。4.评估阻断策略下发后，业务影响的评估与恢复流程的规范性。二、演练组织架构与职责分工为确保演练有序进行，成立网络安全应急演练指挥部，下设攻击演练组（红队）、防御监测组（蓝队）、应急响应组及综合协调组。组别角色主要职责攻击演练组攻击执行者负责在授权范围内，模拟内网主机失陷后的恶意行为，包括建立C2连接、批量发送钓鱼邮件，提供攻击特征和时间节点。防御监测组安全分析师负责实时监控态势感知、防火墙、邮件网关等设备日志，分析异常流量，发现攻击行为并上报，记录告警时间。应急响应组处置工程师负责接收告警，进行研判，制定并执行阻断策略（如封禁IP、隔离主机），对失陷主机进行取证排查，清除恶意载荷。综合协调组演练导演负责演练整体进度把控，协调各组沟通，记录演练过程中的关键节点，评估演练效果，撰写总结报告。三、演练场景设定与技术环境本次演练模拟场景为：财务部某员工办公终端因访问恶意网站感染了Emotet类蠕虫病毒（模拟），该终端被远程控制后，通过内网SMTP服务器向全公司域名后缀用户批量发送包含恶意链接的“工资单确认”钓鱼邮件。技术环境要求：1.靶机环境：位于办公网段的一台Windows10/11测试终端，安装EDR客户端，已加入域。2.邮件服务器：内部ExchangeServer或邮件网关设备，需开启日志审计功能。3.网络设备：核心交换机、下一代防火墙（NGFW），需具备流量镜像或日志上报功能。4.监测平台：态势感知系统（SIEM/SOC），需接入网络流量日志、终端安全日志及邮件服务器日志。攻击特征预定义：源IP：5（模拟靶机IP）目的端口：25(SMTP),465,587流量特征：短时间内（5分钟内）产生超过500次的SMTP连接请求。邮件特征：邮件标题包含“2024年度工资明细确认”，邮件正文包含伪造的OA系统链接。四、演练前置准备阶段在演练正式开始前，需完成以下准备工作，以确保演练环境的安全与可控，避免对生产业务造成真实干扰。1.策略备份：对防火墙、交换机、邮件网关、EDR等设备的当前配置进行完整备份，以便演练结束后一键回滚。2.白名单配置：在态势感知平台和EDR中，将红队使用的攻击工具Hash值、C2地址、测试用钓鱼邮件特征加入临时“监控”白名单，防止演练流量被直接静默丢弃，确保蓝队能看到告警。3.通知到位：通过内部广播或邮件通知全体参演人员，告知演练时间段，避免引起不必要的恐慌。明确演练专用测试邮箱，严禁使用真实生产数据。4.工具准备：红队准备内网渗透测试工具（如CobaltStrike,Metasploit）或邮件发送脚本；蓝队准备日志分析工具、取证工具（如Volatility,Autopsy）。5.通讯录确认：建立演练应急通讯录，确保各关键节点人员即时通讯畅通。五、实战演练执行脚本本章节为演练的核心执行过程，按时间轴详细记录攻击发起、监测发现、研判分析、应急处置、溯源取证及恢复加固的全过程。（一）攻击发起阶段（T0-T+10min）时间：09:00动作描述：攻击演练组在靶机（5）上执行恶意脚本，模拟建立与C2服务器的连接，并启动批量邮件发送模块。执行细节：红队成员运行模拟器，脚本开始读取内网通讯录，并通过SMTP协议向邮件服务器发起连接。```bash#模拟指令pythonsend_spam.py--target"all_staff@"--count1000--subject"工资单确认"--interval0.1```预期现象：内网流量中出现从5发出的高频TCP25端口连接请求；邮件服务器队列中积压大量来自该源IP的发信请求。（二）监测发现阶段（T+2min-T+15min）时间：09:02动作描述：态势感知平台触发异常流量告警。日志详情：```json{"alert_level":"High","rule_id":"10086","message":"检测到内网主机发起异常SMTP爆破或批量发送行为","src_ip":"5","dst_ip":"(Mail_Server)","dst_port":25,"protocol":"TCP","count":150}```蓝队操作：1.安全分析师A（初级）在SOC大屏看到红色告警闪烁。2.分析师A立即查看告警详情，确认源IP为财务部终端。3.对话脚本：分析师A：“主管，发现财务部一台主机（.55）正在疯狂向邮件服务器发送连接，频率极高，疑似僵尸网络活动。”主管：“立即查询该主机资产归属，并关联最近24小时的行为日志，确认是否为误报。”时间：09:05动作描述：邮件网关触发策略告警。告警内容：源IP5在1分钟内尝试发送超过200封邮件，触发“内部垃圾邮件源”策略。蓝队操作：安全分析师B（邮件安全专员）收到邮件网关告警邮件，确认与分析师A看到的源IP一致，初步判断为内网横向传播或失陷投递。（三）研判分析阶段（T+5min-T+20min）时间：09:07动作描述：应急响应组介入，进行深度研判。分析步骤：1.终端状态确认：通过EDR控制台查询5状态。发现该终端CPU占用率飙升至90%，且存在可疑进程`svchost.exe`（伪装）驻留在`C:\Windows\Temp\`目录下。2.网络连接分析：在EDR网络连接视图中，发现该终端除连接邮件服务器外，还向外部IP（模拟C2）的4444端口保持了长连接。3.样本初筛：提取可疑进程的Hash值，上传至沙箱或威胁情报平台进行比对。检索结果：该Hash被标记为“Emotet变种”或“HackTool.Spammer”。4.影响范围评估：检查邮件服务器队列，发现有约3000封待发送邮件处于“Deferred”或“Queued”状态。检查防火墙日志，确认目前仅有部分邮件发出（约500封），大部分被网关限流或处于排队中。决策结论：确认为一级安全事件（Critical）。内网终端失陷，正尝试批量投递钓鱼邮件。需立即执行阻断策略，防止恶意邮件扩散至全员邮箱。（四）应急处置阶段（T+10min-T+30min）时间：09:10动作描述：实施网络层阻断。执行脚本：1.接入层隔离：应急响应工程师登录网络管理控制器或核心交换机，下发ACL策略，阻断该主机流量。```cisco!CiscoIOS示例conftaccess-list101denyiphost5anyaccess-list101permitipanyanyinterfaceGigabitEthernet0/20ipaccess-group101inend```2.或者通过终端管理系统（NAC）强制将终端踢下线，加入“隔离VLAN”。时间：09:12动作描述：实施应用层清洗。执行细节：1.邮件队列清理：登录邮件服务器管理后台，使用命令行工具清空来自发件人`finance_admin@`（伪造发件人）或源IP5的所有待发送队列。```powershell#ExchangePowerShell示例Get-Queue|Where-Object{$_.FromAddress-eq"finance_admin@"}|Remove-Queue-Force```2.全网邮件撤回/标记：针对已发出的约500封邮件，利用邮件网关的“邮件撤回”功能尝试召回，或发送全员紧急通报邮件，提示“09:10-09:12期间收到的工资单邮件为钓鱼邮件，请勿点击”。3.C2通道封禁：在边界防火墙上阻断对恶意外部IP的访问，并同步DNS黑名单。时间：09:15动作描述：终端侧遏制。执行细节：1.通过EDR向终端下发“杀毒进程”指令，终止可疑PID。2.下发“网络隔离”策略，确保即使主机重连网络也无法通讯。3.开启终端全盘文件系统杀毒扫描。（五）溯源取证阶段（T+15min-T+60min）时间：09:20动作描述：对失陷主机进行深度取证，还原攻击路径。取证流程：1.内存取证：使用工具对靶机进行内存转储。分析内存中的网络连接、命令行参数、注入线程。发现：恶意代码通过PowerShell脚本下载，并利用WMI事件进行持久化。2.磁盘取证：检查浏览器历史、下载目录、系统日志（Security,System,Application）。发现：事发前30分钟，用户访问过`/updates.docx`，该文档启用了宏，宏代码释放了后续载荷。3.攻击链还原：初始访问：钓鱼文档（Web）。执行：Office宏代码->PowerShell。持久化：WMI订阅、注册表Run键。横向移动：SMTP批量发送。外连：C2心跳。时间：09:40动作描述：撰写初步分析报告。报告内容：明确攻击类型、失陷原因、影响范围（已发送邮件数、已到达用户数）、溯源结论（攻击源IP、恶意样本Hash）。（六）恢复加固阶段（T+30min-T+90min）时间：09:50动作描述：业务恢复与系统加固。恢复步骤：1.终端重置：鉴于主机已深度失陷，建议不进行清理，直接格式化硬盘，重装操作系统，并从干净备份中恢复数据。2.凭证重置：强制重置该终端使用者的域账号密码，确保攻击者未窃取凭据进行横向渗透。3.策略优化：在防火墙新增策略：默认禁止办公网段直接访问非业务所需的SMTP端口（25/465/587），仅允许邮件服务器对外发送。在EDR新增策略：禁止PowerShell执行特定高危命令，禁用Office宏（除数字签名外）。在邮件网关新增规则：对发件人后缀为内部域名的邮件，增加发件人信誉校验和频率限制（如：单用户每分钟最多发送20封）。时间：10:20动作描述：业务验证。验证操作：1.恢复后的终端重新接入网络，进行业务系统登录测试，确认功能正常。2.发送测试邮件，确认邮件收发功能正常，且不再触发告警。六、演练复盘与总结演练结束后，指挥部组织所有参演人员进行复盘会议，对演练过程中的关键时间节点（MTTD、MTTR）进行统计，分析处置过程中的不足。（一）关键指标评估评估指标目标值实际值结果判定告警触发时间(MTTD)<5min2min达标响应小组介入时间<10min5min达标隔离失陷主机时间<15min10min达标清理邮件队列时间<30min12min达标误报率0%0%达标业务恢复时间<60min50min达标（二）问题分析与改进措施1.发现的问题日志缺失：在溯源过程中发现，部分终端的PowerShell操作日志未开启，导致无法完整还原初始攻击脚本内容。沟通延迟：在确认需要发送全员阻断邮件时，审批流程耗时较长，导致部分用户已点击测试链接（虽为演练，但实战中有风险）。策略漏洞：内网主机对外SMTP访问控制此前过于宽松，虽然本次通过EDR阻断，但网络层未能第一时间自动阻断。2.改进措施日志加固：立即更新终端基线配置，强制启用PowerShell模块日志、脚本块日志和转录日志。流程优化：授予安全运营团队在一级安全事件发生时，直接发布临时的安全警示邮件的权限，事后补签审批。策略收敛：实施“零信任”网络访问控制，细化防火墙策略，办公网段仅允许访问必要的业务端口，全面阻断非授权的SMTP出站流量。培训加强：针对财务部等高频被攻击部门，下月开展专项反钓鱼意识培训。（三）演练总结本次内网批量钓鱼邮件投递阻断处置演练，成功模拟了从主机失陷到恶意邮件扩散的全过程。演练结果表明，现有的安全监测体系能够有效发现内网异常流量，应急响应小组具备快速定位、隔离和处置的能力。邮件网关的限流策略在一定程度上延缓了攻击速度，为处置争取了宝贵时间。但在内网微隔离策略的精细化程度以及终端日志审计的完整性上仍有提升空间。通过本次演练，不仅验证了应急预案的可操作性，也暴露了防御体系中的短板，为后续的安全建设工作指明了方向。各组需在两周内完成相关整改措施的落地，并形成闭环报告。七、附件：常用排查与处置指令参考（一）Windows环境下排查恶意进程```powershell#查看当前网络连接及其对应的PIDnetstat-ano|findstr"ESTABLISHED"#根据PID查询进程详情（需管理员权限）tasklist/fi"PIDeq<PID>"/v#查看最近10分钟的事件日志（安全相关）Get-WinEvent-FilterHashtable@{LogName='Security';Level=