近期内网入侵链路研判：从边界设备失陷到域权限扩张的日志验证与修复

这个链路建议先别急着“全网杀毒”，优先把时间线钉死：边界设备登录/配置变更时间、首次内网横向时间、域控异常认证时间三段要能互相对上。很多案子里真正有价值的证据在边界设备和域控日志，终端反而被清过。

1）边界设备侧先确认三类痕迹

• 异常管理登录：非运维源 IP、非常规时间、失败后成功。
• 配置变更：新增 VPN 账号、策略放通、端口映射、ACL 修改、认证服务器变更。
• 异常隧道/会话：同一账号多地登录、长时间在线、内网扫描型流量。

如果边界设备支持导出 syslog，建议按攻击窗口过滤关键词：

grep -Ei "login|logout|admin|config|commit|vpn|ssl|ipsec|user|failed|success|policy|nat|acl" edge.log \
  | grep "2024-xx-xx"

这里要特别注意“配置保存/提交”时间，不只是登录成功时间。很多设备被拿下后会短时间内创建临时账号，再删掉，单看当前配置看不到。

2）域控上重点查认证与权限变化

建议先拉出攻击窗口内的关键事件，不要只看 4624。比较有用的是：

• 4624：登录成功，关注 LogonType 3/10。
• 4625：登录失败，判断爆破或密码喷洒。
• 4672：分配特殊权限，常见于管理员登录。
• 4720/4726：用户创建/删除。
• 4728/4732/4756：加入高权限组。
• 4738：用户属性修改。
• 4768/4769/4771：Kerberos 认证、TGS 请求、失败。
• 7045：服务安装，常见横向执行痕迹。

PowerShell 可以先这样粗筛：

$start = Get-Date "2024-xx-xx 00:00:00"
$end   = Get-Date "2024-xx-xx 23:59:59"

$ids = 4624,4625,4672,4720,4726,4728,4732,4738,4756,4768,4769,4771,7045

Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = $ids
    StartTime = $start
    EndTime   = $end
} | Select-Object TimeCreated, Id, ProviderName, Message |
Export-Csv .\dc_security_window.csv -NoTypeInformation -Encoding UTF8

如果日志量太大，可以先按可疑源 IP、VPN 地址池、跳板机 IP 过滤。尤其要把边界 VPN 分配的内网地址池拿来对比域控 4624 的 IpAddress 字段。

Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=4624
    StartTime=$start
    EndTime=$end
} | Where-Object {
    $_.Message -match "Logon Type:\s+(3|10)" -and
    $_.Message -match "Source Network Address:\s+10\.10\.50\."
} | Select-Object TimeCreated, Message

3）验证是否发生域权限扩张

不要只看 Domain Admins，也要看这些组：

• Enterprise Admins
• Schema Admins
• Administrators
• Account Operators
• Backup Operators
• Remote Management Users
• DNSAdmins
• 组策略相关委派权限

可以导出现有高权限组成员做快照：

Import-Module ActiveDirectory

$groups = @(
  "Domain Admins",
  "Enterprise Admins",
  "Schema Admins",
  "Administrators",
  "Account Operators",
  "Backup Operators",
  "DNSAdmins",
  "Remote Management Users"
)

foreach ($g in $groups) {
    "`n==== $g ===="
    Get-ADGroupMember $g -Recursive |
      Select-Object Name, SamAccountName, objectClass
}

如果怀疑攻击者改过 ACL，建议重点查 AdminSDHolder 和异常委派：

Import-Module ActiveDirectory

# 查看 AdminSDHolder ACL
(Get-Acl "AD:\CN=AdminSDHolder,CN=System,DC=example,DC=com").Access |
  Select-Object IdentityReference, ActiveDirectoryRights, AccessControlType, IsInherited

# 查带有 SPN 的普通用户，排查 Kerberoasting 面
Get-ADUser -LDAPFilter '(servicePrincipalName=*)' -Properties servicePrincipalName |
  Select-Object SamAccountName, Enabled, servicePrincipalName

4）横向移动证据别漏掉主机侧日志

常见落点是服务器、运维机、文件服务器。重点看：

• 7045：远程创建服务。
• 4697：服务安装。
• 4688：进程创建，前提是已开启命令行审计。
• Sysmon Event ID 1/3/10/11：进程、网络、句柄访问、文件创建。
• PowerShell 4104：脚本块日志。
• WinRM：Microsoft-Windows-WinRM/Operational。

可先在服务器上查服务安装：

Get-WinEvent -FilterHashtable @{
  LogName='System'
  Id=7045
  StartTime=$start
  EndTime=$end
} | Select-Object TimeCreated, ProviderName, Message

如果发现类似 psexesvc、随机服务名、指向 ADMIN$、Temp、ProgramData 的路径，基本就可以往横向执行方向验证。

5）修复顺序很关键

建议顺序是：

1. 先保全边界设备配置、日志、当前会话、VPN 在线用户。
2. 临时限制边界管理面，只允许堡垒机或固定运维 IP。
3. 禁用可疑 VPN/本地管理员账号，不要直接删除，先留证。
4. 重置边界设备管理员密码、VPN 账号密码、对接的 RADIUS/LDAP 凭据。
5. 排查并清理域内新增账号、异常组成员、异常 ACL、异常 GPO。
6. 重置高权限账号密码，必要时执行两次 krbtgt 重置，中间间隔一个完整票据生命周期。
7. 最后再做终端清理和漏洞修复，否则容易被残留域权限重新打回来。

krbtgt 不建议一上来就重置，先确认没有业务依赖问题，并且域控复制正常。可以先查复制状态：

repadmin /replsummary
repadmin /showrepl

6）后续加固建议

• 边界设备管理面关闭公网访问，必须走 VPN/堡垒机，并开启 MFA。
• VPN 地址池单独划 VLAN，只允许访问必要系统，不要直通域控。
• 域管账号禁止登录普通服务器和办公终端。
• 开启 PowerShell Script Block Logging、进程命令行审计、Sysmon。
• 边界设备日志远程 syslog 到独立日志服务器，避免设备被控后本地日志被清。

这个场景里最容易误判的是：只看到域控异常登录，就从域内开始查，忽略了 VPN/边界设备作为初始入口。建议把 VPN 地址池、边界管理登录 IP、域控 4624 源地址三者做一次交叉，通常能很快把入侵链路串起来。