# 横向移动常见路径与加固对照表
> 横向移动：攻击者拿下一台内网跳板主机后，以此为支点访问内网其他主机\(、C\)域控\(、C\)服务器，扩大控制范围。
> 表格包含：攻击路径\(、C\)攻击原理\(、C\)日志特征\(、C\)检测方式\(、C\)加固措施。
| 横向移动路径 | 攻击原理 | 日志/流量特征 | 蓝队检测方式 | 加固措施 |
| ---- | ---- | ---- | ---- | ---- |
| **SMB / 文件共享 (445端口)** | 利用窃取账号/哈希（Pass-the-Hash PtH）\(、C\)明文密码访问SMB共享；执行计划任务\(、C\)WMI\(、C\)PsExec远程执行 | 目标主机安全日志4624，登录类型3；源跳板IP访问目标445端口；大量网络登录事件 | 边界/主机监控445跨主机访问；SIEM关联短时间多台主机4624来自同一源IP；EDR监控psexec/wmiexec进程 | 1. 内网严格限制445跨网段访问；防火墙ACL控制
2. 禁用不必要的文件共享
3. LSA保护（LSA Protection），防止抓取内存哈希
4. 启用SMB签名；关闭SMBv1 |
| **WMI远程管理** | 使用WMI远程执行命令\(、C\)创建进程，不需要开启SMB文件共享，端口5985(HTTP)/5986(HTTPS)，也可复用DCOM 135 | Windows事件4624登录类型3；4688远程进程创建；wmic/wmi.exe进程 | SIEM检测wmi调用；EDR监控wmic\(、C\)wmiprvse.exe异常子进程；监控5985端口访问 | 1. 非必要关闭WMI远程访问
2. WMI访问权限最小化，仅授权必要运维账号
3. 限制管理员账号跨主机使用WMI |
| **PsExec / PAExec** | Sysinternals工具，通过SMB上传二进制到ADMIN$共享，远程执行程序，经典横向工具 | 目标主机`PSEXESVC`服务安装事件7045；ADMIN$共享访问；临时文件在C:\Windows\PSEXESVC.exe | 监控7045新建服务；检测ADMIN$写入行为；进程名psexesvc | 1. 禁止普通管理员跨主机使用PsExec
2. 限制ADMIN$\(、C\)C$默认共享（生产谨慎，部分业务依赖）
3. EDR拦截psexec/paexec |
| **远程桌面 RDP (3389)** | 窃取账号密码后RDP登录其他主机；暴力破解RDP | 4624 LogonType=10（RDP登录）；大量4625失败登录；来源为内网跳板IP | SIEM告警：同一源IP短时间大量RDP登录；EDR监控mstsc异常外联 | 1. RDP禁止直接暴露；优先VPN+IP白名单
2. 开启RDP NLA网络级别认证
3. 管理员账号不允许跨主机RDP；启用MFA |
| **WinRM（Windows远程管理）** | WinRM基于HTTP/HTTPS，PowerShell远程会话Enter-PSSession，端口5985/5986 | PowerShell操作日志4104；4624登录事件；wsman流量 | SIEM检测WinRM会话；监控5985端口跨主机访问 | 1. 非业务场景关闭WinRM远程
2. 身份强认证，禁止本地账号远程访问WinRM
3. 会话审计 |
| **SSH远程登录（Linux横向）** | 窃取密码/SSH私钥（authorized_keys后门），ssh远程登录其他Linux服务器 | `/var/log/secure` / `auth.log` Accepted password；ssh会话记录 | 监控ssh登录来源IP；检索authorized_keys新增公钥；w/last登录日志 | 1. 禁止root直接ssh登录
2. 禁用密码登录，仅密钥；密钥保管，禁止随意拷贝私钥
3. 审计authorized_keys变更 |
| **计划任务远程创建** | 远程在目标主机新建ScheduledTask，实现命令执行与持久化，可通过schtasks/WMI创建 | Windows事件4698 创建计划任务；任务创建来源为外部IP | SIEM监控EventID 4698；检测schtasks远程调用 | 1. 限制普通账号远程创建计划任务
2. 审计计划任务变更，陌生任务告警 |
| **DCOM远程组件调用** | DCOM协议，通过COM对象远程执行代码，端口135+动态端口，较隐蔽 | DCOM激活事件，135端口访问，wmiprvse相关进程 | 监控135端口跨主机访问；EDR跟踪DCOM相关异常进程 | 防火墙限制135跨主机访问；收紧DCOM组件权限 |
| **数据库远程连接（MSSQL/MySQL）** | 拿到数据库账号，利用存储过程xp_cmdshell等执行系统命令，端口1433/3306 | 数据库登录审计；xp_cmdshell调用日志；数据库向外执行命令 | 监控数据库账号跨主机登录；告警xp_cmdshell调用行为 | 1. 数据库最小权限，禁止数据库账号拥有系统执行权限
2. 关闭xp_cmdshell等危险存储过程
3. 数据库端口ACL，限制访问源 |
| **Pass-the-Ticket 票据传递（Kerberos）** | 盗取内存Kerberos票据，不用密码/哈希，直接冒充账号访问域内资源，域环境高频 | Kerberos票据请求TGT/TGS；异常ticket请求，无对应交互式登录 | SIEM监控异常Kerberos票据申请；检测内存导出票据行为 | 1. LSA保护，阻止导出kerberos票据
2. 域管理员禁止在普通终端登录
3. 短票据生命周期，账号异常登录告警 |
## 通用加固总原则（域环境重点）
1. **账号分层（最重要）**
域管理员账号**仅登录域控**，绝对不登录普通工作站/服务器；业务服务器使用独立本地管理员，账号互不相同（防止一台沦陷全域横向）。
2. **网络微分段**
内网不要大平网，划分安全域，域控\(、C\)数据库\(、C\)办公区隔离；域控只允许运维固定IP访问。
3. **认证加固**
MFA\(、C\)NLA；LSA保护；SMB签名；禁止凭证缓存到本地内存。
4. **日志与联动检测**
全主机开启进程审计4688；SIEM做关联告警：**单个跳板IP短时间访问多台主机的管理端口**，这是横向移动最核心行为特征。
5. **最小权限**
所有运维账号按需授权，禁止全域通用管理员账号。
## 横向移动SIEM核心检索规则
```
# 同一源IP，短时间（10分钟）多台目标主机产生4624登录事件，判定横向移动告警
EventCode=4624 | stats count by src_ip,dest_host | where count >=3
```
## 快速排查命令
Windows：
```powershell
# 查看远程登录事件
Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4624}
```
Linux：
```bash
# 查看ssh登录记录
grep "Accepted password" /var/log/secure
```