横向痕迹的梳理方式
横向移动依靠远程执行与远程登录通道完成：SMB/管理共享、WinRM、RDP、SSH、计划任务与服务创建。每个通道在两侧都留痕——源主机上有发起进程与凭据使用，目标主机上有登录记录、服务创建或文件写入。梳理时按通道逐一对照，把「源→目标」的方向标出来，再与账号使用记录交叉验证，就能画出扩散图。只查成功登录会漏掉失败的尝试，而失败的尝试恰恰显示了攻击者的路径探测过程。
基本信息
| 主要通道 | SMB/管理共享、WinRM、RDP、SSH、计划任务、服务创建、远程工具 |
|---|---|
| 源侧痕迹 | 发起进程与命令行、凭据使用记录、外发连接 |
| 目标侧痕迹 | 登录事件与登录类型、服务与任务创建、文件写入 |
| 关联键 | 账号名、来源主机/IP、时间窗 |
| Linux 侧重点 | auth 日志的会话记录、SSH 密钥使用、scp/rsync 记录 |
| 产出 | 扩散图（节点与方向）+ 每条边对应的证据位置 |
典型使用场景
- 确认一台被入侵主机是否被用作跳板继续扩散
- 判断管理员账号是否被用于跨主机操作（凭据窃取的典型后果）
- 把每个目标主机上的异常登录回溯到源主机
- 识别批量操作：脚本化的横向往往呈现高度规律的时间间隔
- 与运维基线对比，区分正常批量运维与异常扩散
- 为清理范围提供依据：扩散图决定需要处置的主机清单
痕迹对照
痕迹对照
SMB/管理共享：目标侧登录类型 3 + 共享访问事件，源侧连接记录
WinRM：目标侧服务与进程谱系，源侧发起进程与命令行
RDP：登录类型 10，配合会话建立/断开事件
SSH：两侧的认证日志，含来源 IP 与所用密钥指纹
计划任务：任务创建事件 + 执行记录，注意创建者账号
# 每条边记录：源主机、目标主机、通道、账号、时间、证据位置通道与判读要点
| 通道 | 典型痕迹 | 判读要点 |
|---|---|---|
| SMB/共享 | 登录类型 3、共享访问记录 | 大量类型 3 多为扫描或凭据尝试，需按来源聚合 |
| WinRM | 服务端进程创建与命令行 | 关注非运维账号发起的长命令与编码参数 |
| RDP | 登录类型 10 与会话事件 | 注意来源 IP 与客户端名称，可能与自述不符 |
| SSH | 认证日志的会话与密钥指纹 | 密钥指纹要与 authorized_keys 条目对应 |
| 计划任务 | 任务创建与执行事件 | 创建者账号与任务内容常暴露扩散意图 |
扩散图按时间排序后与账号使用记录交叉验证：同一账号在极短时间内出现在多台主机上，通常是脚本化横向；间隔均匀的批量操作则可能是正常运维，需要用基线区分。
只查成功登录会漏掉失败尝试形成的路径探测证据。失败记录往往更早出现，能说明攻击者何时开始尝试横向，以及尝试了哪些目标。