提权与横向移动的痕迹
溯源分析通常从两个方向入手：提权与横向移动。攻击者进入主机后往往先获取更高权限，再横向移动到其他主机，这两个动作都会在系统日志中留下线索。Linux 侧集中在 sudo、su 与计划任务变更；Windows 侧集中在显式凭据登录、特权分配、远程桌面与服务安装事件。关键前提是主机时钟同步与日志集中采集，否则跨设备的时间线拼不起来。
基本信息
| 适用平台 | Linux（/var/log/secure、auth.log）、Windows 事件日志、网络设备 |
|---|---|
| Linux 线索 | sudo/su 记录、cron 与 systemd 单元变更、SSH 密钥新增 |
| Windows 线索 | 4648 显式凭据、4672 特权分配、4624 类型 10（RDP）、7045 服务安装 |
| 前提条件 | 各主机时钟同步、日志集中采集并保留足够时长 |
| 分析方法 | 跨设备时间线关联，结合来源 IP 与账号 |
典型使用场景
- 入侵溯源：还原从初始访问到横向扩散的路径
- 异常排查：发现非工作时间的 sudo 与远程登录
- 持久化检查：排查计划任务与自启动项的异常新增
- 账号审计：识别新增长期有效的 SSH 授权密钥
- 应急加固：按线索方向补充监控与封禁策略
线索方向
| 平台 | 日志与字段 | 关注点 |
|---|---|---|
| Linux | sudo/su 记录、cron 与 systemd 变更、SSH 密钥 | 异常账号与时间点 |
| Windows | 4648、4672、4624 类型 10、7045 | 显式凭据与服务安装 |
| 网络 | 内网端口扫描与异常 SMB/RDP 会话 | 横向连接的目标与频次 |
Linux 检索示例
Linux 检索示例
# 查看 sudo 与 su 记录（RHEL 系为 /var/log/secure）
grep -E "sudo|su:" /var/log/secure | tail -30
# 检查计划任务与定时器是否有异常新增
grep -Ri "cron" /etc/cron* | head -20
systemctl list-timers --all | head
# 检查授权密钥文件是否被改动
ls -l --time-style=long-iso ~/.ssh/authorized_keys排查顺序建议
- 先定人：从异常账号与登录来源 IP 入手，圈定受影响主机范围
- 再看权：核对这段时间内是否出现提权与新增特权账号
- 后看动：检查计划任务、自启动项与服务安装是否被新增
- 再看联：用网络会话与内网连接记录判断是否已横向扩散
- 最后固化：把确认的痕迹转成检测规则，并复核同类主机
时间线是溯源的核心产物：建议把主机的登录、提权、服务安装与网络连接事件汇总到一张按时间排序的表里，再判断哪些动作超出正常运维模式。