企業(yè)網(wǎng)絡(luò)安全實(shí)驗(yàn)操作報(bào)告3.安全策略預(yù)設(shè)防火墻規(guī)則：外網(wǎng)僅能訪問(wèn)DMZ區(qū)Web服務(wù)器的80/443端口；DMZ區(qū)服務(wù)器禁止主動(dòng)訪問(wèn)內(nèi)網(wǎng)區(qū)；內(nèi)網(wǎng)區(qū)服務(wù)器僅允許員工區(qū)終端訪問(wèn)其業(yè)務(wù)端口（如數(shù)據(jù)庫(kù)3306端口）；啟用IPS規(guī)則（覆蓋SQL注入、跨站腳本等常見攻擊）。終端防護(hù)：EDR系統(tǒng)開啟“實(shí)時(shí)文件監(jiān)控”“異常進(jìn)程攔截”“網(wǎng)絡(luò)連接審計(jì)”功能；域控制器啟用“用戶登錄審計(jì)”“特權(quán)用戶操作日志”。四、實(shí)驗(yàn)步驟與結(jié)果記錄（一）模塊1：防火墻策略有效性驗(yàn)證1.1區(qū)域訪問(wèn)控制測(cè)試操作步驟：從攻擊機(jī)（外網(wǎng)IP：10.0.0.10）使用`nmap-sT-p80,443,3306192.168.1.10`（Web服務(wù)器）；從Web服務(wù)器（DMZIP：192.168.1.10）嘗試SSH登錄數(shù)據(jù)庫(kù)服務(wù)器（內(nèi)網(wǎng)IP：192.168.2.20）；從員工終端（192.168.3.30）訪問(wèn)數(shù)據(jù)庫(kù)服務(wù)器的3306端口（使用MySQL客戶端）。預(yù)期結(jié)果：外網(wǎng)僅能訪問(wèn)Web服務(wù)器的80/443端口，3306端口被攔截；DMZ區(qū)無(wú)法訪問(wèn)內(nèi)網(wǎng)區(qū)服務(wù)器；員工區(qū)可正常訪問(wèn)數(shù)據(jù)庫(kù)服務(wù)器的3306端口。實(shí)際結(jié)果：外網(wǎng)掃描顯示80/443端口開放，3306端口“過(guò)濾”（符合預(yù)期）；DMZ區(qū)SSH登錄內(nèi)網(wǎng)服務(wù)器時(shí)，防火墻日志記錄“區(qū)域訪問(wèn)拒絕”（符合預(yù)期）；員工終端可正常連接數(shù)據(jù)庫(kù)（符合預(yù)期）。結(jié)論：防火墻區(qū)域訪問(wèn)控制策略有效。1.2NAT轉(zhuǎn)換與IPS功能測(cè)試操作步驟：預(yù)期結(jié)果：?jiǎn)T工終端訪問(wèn)外網(wǎng)時(shí)，源IP轉(zhuǎn)換為防火墻WAN口IP（10.0.0.1）；SQL注入攻擊被防火墻IPS規(guī)則攔截，Web服務(wù)器無(wú)異常響應(yīng)。實(shí)際結(jié)果：Wireshark抓包顯示，員工終端的外網(wǎng)訪問(wèn)流量源IP為10.0.0.1（NAT有效）；攻擊機(jī)執(zhí)行sqlmap時(shí)，防火墻日志記錄“IPS規(guī)則觸發(fā)：SQL注入攻擊（CVE-____）”，并阻斷該連接（符合預(yù)期）。結(jié)論：NAT轉(zhuǎn)換與IPS功能正常，可有效防御常見Web攻擊。（二）模塊2：內(nèi)網(wǎng)橫向移動(dòng)檢測(cè)2.1模擬遠(yuǎn)程命令執(zhí)行（PsExec）操作步驟：攻擊機(jī)通過(guò)釣魚郵件獲取員工終端（192.168.3.30）的管理員憑證（模擬社工攻擊）；使用`PsExec.exe\\192.168.3.30-uadmin-ppasswdcmd.exe`遠(yuǎn)程執(zhí)行命令，嘗試獲取終端控制權(quán)；查看EDR系統(tǒng)的報(bào)警記錄。預(yù)期結(jié)果：EDR系統(tǒng)識(shí)別到“異常遠(yuǎn)程進(jìn)程創(chuàng)建”（PsExec），并觸發(fā)報(bào)警；終端阻止遠(yuǎn)程命令執(zhí)行（或記錄操作日志）。實(shí)際結(jié)果：EDR系統(tǒng)實(shí)時(shí)報(bào)警“遠(yuǎn)程工具執(zhí)行：PsExec嘗試連接終端”，并自動(dòng)隔離攻擊源IP（10.0.0.10）；終端未執(zhí)行遠(yuǎn)程命令，日志記錄“管理員憑證被異常使用”。結(jié)論：EDR系統(tǒng)可有效檢測(cè)內(nèi)網(wǎng)橫向移動(dòng)的初始步驟。2.2憑證竊取與域控制器攻擊操作步驟：攻擊機(jī)通過(guò)員工終端的`Mimikatz.exe`竊取域管理員憑證（模擬權(quán)限提升）；使用竊取的憑證登錄域控制器（192.168.2.10），嘗試修改用戶權(quán)限；查看域控制器的安全日志（EventID4624：登錄成功；EventID4732：權(quán)限修改）。預(yù)期結(jié)果：域控制器日志記錄異常登錄（來(lái)自員工終端的域管理員登錄）；EDR系統(tǒng)觸發(fā)“敏感賬戶異?；顒?dòng)”報(bào)警。實(shí)際結(jié)果：域控制器日志顯示“192.168.3.30（員工終端）使用域管理員賬戶登錄”（EventID4624）；EDR系統(tǒng)報(bào)警“域管理員憑證在非信任設(shè)備上使用”，并通知安全運(yùn)營(yíng)團(tuán)隊(duì)；權(quán)限修改操作被域控制器的“用戶權(quán)限分配”策略阻止（符合預(yù)期）。結(jié)論：域控制器的審計(jì)功能與EDR系統(tǒng)聯(lián)動(dòng)，可有效防范內(nèi)網(wǎng)權(quán)限提升攻擊。（三）模塊3：端點(diǎn)防護(hù)能力評(píng)估3.1惡意文件檢測(cè)（ransomware模擬）操作步驟：攻擊機(jī)向員工終端發(fā)送偽裝為“報(bào)銷表.exe”的惡意文件（包含`WannaCry`變種的加密邏輯）；員工終端雙擊運(yùn)行該文件，查看EDR系統(tǒng)的響應(yīng)。預(yù)期結(jié)果：終端未出現(xiàn)文件加密現(xiàn)象。實(shí)際結(jié)果：EDR系統(tǒng)實(shí)時(shí)攔截“報(bào)銷表.exe”，提示“該文件包含ransomware特征（SHA256：xxxxxx）”；終端文件系統(tǒng)未被加密，日志記錄“惡意文件被隔離”。結(jié)論：EDR系統(tǒng)的惡意文件檢測(cè)能力可有效防御ransomware攻擊。3.2異常行為分析（文件篡改）操作步驟：?jiǎn)T工終端（192.168.3.30）嘗試修改敏感文件（如`C:\ProgramFiles\Symantec\edr.exe`）；查看EDR系統(tǒng)的“文件完整性監(jiān)控（FIM）”日志。預(yù)期結(jié)果：EDR系統(tǒng)檢測(cè)到敏感文件被修改，并觸發(fā)報(bào)警；終端阻止文件修改（或記錄操作）。實(shí)際結(jié)果：EDR系統(tǒng)報(bào)警“敏感文件篡改：edr.exe的哈希值從xxxxxx變?yōu)閥yyyyy”；終端自動(dòng)恢復(fù)被修改的文件（基于備份），并通知用戶“操作未授權(quán)”。結(jié)論：FIM功能可有效保護(hù)終端關(guān)鍵文件的完整性。五、結(jié)果分析與風(fēng)險(xiǎn)總結(jié)1.現(xiàn)有安全架構(gòu)的有效性防火墻：區(qū)域訪問(wèn)控制、NAT轉(zhuǎn)換及IPS功能均符合預(yù)期，可有效隔離內(nèi)外網(wǎng)、防御Web攻擊；EDR系統(tǒng)：對(duì)遠(yuǎn)程工具執(zhí)行、惡意文件、敏感文件篡改的檢測(cè)率達(dá)100%，響應(yīng)及時(shí)（自動(dòng)隔離/恢復(fù)）；域控制器：審計(jì)功能完善，可記錄異常登錄與權(quán)限操作，配合EDR聯(lián)動(dòng)可快速定位內(nèi)網(wǎng)威脅。2.潛在風(fēng)險(xiǎn)點(diǎn)員工安全意識(shí)：模擬社工攻擊成功獲取管理員憑證，說(shuō)明員工對(duì)釣魚郵件的識(shí)別能力不足；日志分析能力：實(shí)驗(yàn)中未部署SIEM系統(tǒng)，無(wú)法對(duì)防火墻、EDR、域控制器的日志進(jìn)行集中分析，可能遺漏關(guān)聯(lián)威脅；IoT設(shè)備覆蓋：實(shí)驗(yàn)未涉及IoT設(shè)備（如攝像頭、打印機(jī)），此類設(shè)備通常缺乏安全防護(hù)，易成為內(nèi)網(wǎng)攻擊的入口。六、總結(jié)與建議1.實(shí)驗(yàn)總結(jié)本實(shí)驗(yàn)驗(yàn)證了企業(yè)現(xiàn)有安全架構(gòu)的核心能力（防火墻、EDR、域控制器），但也暴露了員工意識(shí)薄弱、日志分析能力不足等風(fēng)險(xiǎn)。實(shí)驗(yàn)結(jié)果表明，“預(yù)防-檢測(cè)-響應(yīng)”閉環(huán)是企業(yè)網(wǎng)絡(luò)安全的關(guān)鍵，需通過(guò)技術(shù)手段與人員培訓(xùn)結(jié)合，提升整體防護(hù)水平。2.優(yōu)化建議強(qiáng)化員工培訓(xùn)：定期開展釣魚郵件模擬演練，提升員工對(duì)社工攻擊的識(shí)別能力；部署SIEM系統(tǒng)：整合防火墻、EDR、域控制器等日志，通過(guò)關(guān)聯(lián)分析發(fā)現(xiàn)隱藏的威脅（如“員工終端異常登錄+域管理員權(quán)限提升”）；覆蓋IoT設(shè)備：為IoT設(shè)備分配獨(dú)立的VLAN，限制其訪問(wèn)內(nèi)網(wǎng)核心區(qū)域，部署IoT安全網(wǎng)關(guān)（如CiscoIoTControlCenter）；定期演練：每季度開展一