主机级断网的两条路线
主机隔离有两条路线：彻底断网（禁用网卡或物理拔线）与保留管理通道的封禁（防火墙只放行管理来源）。前者干净利落但失去远程处置能力，后者能继续远程操作，代价是策略必须配得足够严。
入站与出站都要管
只封入站时木马仍能向外回连 C2 并把数据带出去。隔离目标是阻断横向移动与外部回连，因此出站策略同样要收紧，并按处置目标决定是白名单放行还是全阻断。
基本信息
| 彻底方式 | ip link set eth0 down 或物理拔线 |
|---|---|
| 保留管理 | iptables 仅放行管理源与管理端口 |
| 出站控制 | 限制目标网段与端口，阻断未知外连 |
| 状态记录 | 隔离前后各存一份连接与监听快照 |
| 回环注意 | 保留 lo 与本地 socket 通信 |
| 适用平台 | Linux 主机（Windows 用 netsh/firewall 或禁用网卡） |
典型使用场景
- 确认主机被控后切断其 C2 通道
- 阻断横向移动但保留远程排查能力
- 需要继续取证而上机操作受限时
- 批量隔离同一网段内多台受害主机
- 处置完成后按计划逐步恢复网络访问
两种断网方式示例
两种断网方式示例
ss -antp > /evidence/conn_before.txt # 隔离前留快照
ip link set eth0 down # 方式一：整体断开
iptables -A INPUT -s 10.0.0.5 -j ACCEPT # 方式二：只放行管理源
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -j DROP
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -j DROP
ss -antp > /evidence/conn_after.txt # 隔离后对比两种方式对照
| 对比项 | 彻底断网 | 保留管理通道 |
|---|---|---|
| 证据影响 | 内存与进程状态完整保留 | 同样保留，但策略配置本身也会改动系统 |
| 远程处置 | 完全失去，需要现场或带外管理 | 可继续远程操作，效率更高 |
| 遗漏风险 | 无外连风险 | 策略写错会留下通道，需立即验证 |
| 适用场景 | 确认已被远程控制、需极速止损 | 需要边隔离边取证与清理 |
只封入站不封出站时木马仍可回连 C2；配置完必须实测验证（用 ss 与抓包确认没有异常外连成功）。
隔离动作的现场纪律
- 先记录来源与目标，说明隔离范围与时间点
- 保留带外或控制台通道，避免彻底失联
- 隔离后立即验证管理通道可用、外连不可用
- 把隔离策略本身也写入时间线，便于后续解释