应急封禁要留档
发现主机被爆破、遭遇 CC 攻击或出现数据外传迹象时，边界侧要能在分钟级封禁来源地址，同时保留证据。封禁动作本身必须留档、有到期时间、有解封流程：封禁不是终点，只是为溯源和修复争取时间。动手前先固定证据（日志、连接、进程快照），先封后取证容易丢掉关键线索。
基本信息
| 适用场景 | 疑似入侵、爆破、CC 攻击、数据外传 |
|---|---|
| 适用平台 | Linux 与 Windows |
| 风险等级 | 高 |
| 基线要求 | 有应急封禁预案与操作记录 |
| 关键手段 | ipset 配合 iptables、New-NetFirewallRule |
典型使用场景
- SSH 爆破告警触发，临时封禁来源地址
- Web 遭遇高频 CC 攻击，先挡住来源保住业务
- 发现数据外传迹象，先切断出站连接再溯源
- 封禁到期后的复核与解封
- 事件收尾时清理临时规则
Linux 快速封禁
Linux 快速封禁
ipset create emergency hash:ip timeout 7200 # 建一个带超时的地址集合
ipset add emergency <可疑IP> # 把可疑地址加入集合
iptables -I INPUT -m set --match-set emergency src -j DROP # 入站丢弃
iptables -I OUTPUT -m set --match-set emergency dst -j DROP # 出站丢弃
ipset list emergency # 查看当前封禁条目Windows 快速封禁
Windows 快速封禁
New-NetFirewallRule -DisplayName 'EMERGENCY-BLOCK-<IP>' -Direction Inbound -Action Block -RemoteAddress <可疑IP> -Profile Any # 入站封禁
Get-NetFirewallRule -DisplayName 'EMERGENCY-BLOCK-*' | Select-Object DisplayName, Enabled # 复核已下发的封禁复核必查项
| 检查项 | 含义 | 注意点 |
|---|---|---|
| 封禁范围 | 仅入站还是入站加出站 | 数据外传场景要一并封出站 |
| 封禁时长 | ipset timeout 或到期复核时间 | 必须设到期点 |
| 证据留存 | 日志、连接与进程快照 | 封禁前先固定 |
| 操作记录 | 封禁原因、对象、操作人 | 书面留档 |
| 解封条件 | 何时可以解除封禁 | 附复核环节 |
封禁后忘记解封会造成业务长期中断：一定要设置超时或到期复核提醒，并在事件记录里写清解封条件。
只封 IP 不足以阻止再犯：封禁只是应急手段，必须同步做口令轮换、漏洞修复与溯源分析，否则攻击者换个地址很快就能绕过。