入口点定位的思路
入口点指的是攻击者最初获得访问权的那一点。定位思路是从最早异常向前推：先列出暴露面（Web 服务、VPN、邮件、对外管理端口与已知漏洞窗口），再在最早异常时间的前后比对日志，验证候选入口上是否有成功利用的痕迹。常见误判是把「最先被发现的」当作「最先被入侵的」——被发现的主机往往在攻击链中段，真正的入口在更早、更外侧的位置。入口如果定位不到，处置后的复发评估就要更保守。
基本信息
| 定位目标 | 找出初始访问点，而不是只清理可见的结果 |
|---|---|
| 候选来源 | 暴露面清单（对外服务与端口）+ 最早异常点 + 已知漏洞窗口 |
| 证据要求 | 候选入口上要有成功利用的痕迹，如异常请求、命令执行、会话建立 |
| 排除原则 | 区分「先到达者」与「真正入口」，时间最早不等同于入口 |
| 依赖条件 | 入口定位高度依赖日志留存，保留期短的来源要尽早导出 |
| 产出 | 入口判定结论 + 置信度 + 未排除的候选清单 |
典型使用场景
- 确认 Web 应用是否被利用某个已知漏洞获得初始访问
- 判断外网暴露的 VPN 或远程管理端口是否有异常登录成功记录
- 区分钓鱼邮件导入与暴露面利用两种入口
- 在找到后门后回溯「最早的那个动作」出现在哪台主机
- 为整改提供依据：定位到入口才能知道该修哪个漏洞或关哪个端口
- 评估复发风险：入口未定位时给出更保守的处置与监控建议
定位路径
定位路径
1) 列出暴露服务与已知漏洞窗口（对外端口、组件版本、公告时间）
2) 取最早异常时间，向前比对前后日志（Web 访问、认证、VPN 会话）
3) 在候选项上找成功利用痕迹：异常请求 + 紧随的命令执行或下载
4) 排除「先到达者」与「真正入口」的差异，交叉验证后再定论
5) 未定位到的候选逐一记录，说明为何排除或保留候选入口与对应的证据面
| 候选入口 | 关键证据 | 判读要点 |
|---|---|---|
| Web 应用 | 访问日志中的异常请求与状态码变化 | 利用成功的请求往往紧接一条进程或文件落地记录 |
| 远程管理端口 | 认证日志与安全日志的登录成功记录 | 关注失败密集后出现的成功 |
| VPN/网关 | 设备日志中的会话建立与来源 | 会话时长与后续行为时间要能衔接 |
| 邮件导入 | 邮件网关日志与终端上的附件落地 | 附件打开时间应早于首个异常行为 |
| 供应链/更新通道 | 更新或安装记录与文件哈希变化 | 时间点常与厂商发布窗口相关 |
入口没有定位到时，处置后的复发概率评估要更保守：加强监控范围与时长，并把「入口未知」作为报告的明确局限写出来。
把「最先被发现的」当作「最先被入侵的」是常见误判。先从告警指向的主机出发向前追溯，而不是直接以它为入口下结论。