护网季又来了群里每天都在刷“应急响应”“入侵排查”这些词。尤其是刚入行或者准备找安全实习的朋友一听到“护网”既兴奋又紧张——兴奋的是终于能上手实战了紧张的是怕真出了事自己顶不上。我见过太多第一次参加护网的蓝队队员手里拿着告警单子却不知道怎么下手最后只能对着屏幕干瞪眼。别慌这篇文章就是给零基础的你准备的从最底层的应急响应流程开始梳理一步一步拆解怎么排查Linux入侵、怎么写处置报告最后能直接拿着这套方法去用。先说人话解释一下蓝队是干嘛的。护网本质上是两拨人互攻红队想办法打进来蓝队想办法挡住、发现、处置。而应急响应就是蓝队被触发后的一套标准动作确认有没有被打穿、找到入口、把攻击者清出去、堵上漏洞、最后复盘。这套动作不是靠天赋而是靠流程。流程顺了新手也能发挥出七成战斗力。这篇文章我会结合这些年护网和应急处置的实操经验把整套流程拆给你看重点讲Linux入侵排查这条主线跟着走一遍你也能做到心中有数。1. 先把护网的底牌摸清楚蓝队应急响应的核心逻辑1.1 护网到底是什么2026年时间怎么安排很多人把护网想得很玄其实它就是一次高强度的实战化安全演练。红队模拟真实攻击者针对目标系统发起攻击蓝队在一线负责监测、防御、处置和溯源。护网期间每个系统的安全监控都会被拉满告警量比平时翻几倍很多平时藏得深的问题都会暴露出来。关于2026护网行动时间具体日期一般不会太早公布但按历年惯例通常集中在年中偏后的时间段会提前一到两个月发通知。如果你是准备参加护网实习或者作为外部蓝队成员进场我建议时间一出就提前做三件事一是把自己的工具环境搭好二是熟悉目标系统的架构图三是把历史漏洞报告翻一遍。真正进场之后节奏会非常快根本没有时间让你慢慢学。1.2 蓝队应急响应的三个层次你得先站对位置我接触过很多护网队员水平参差不齐但能把活干好的基本都是把应急响应分成了三个层次来理解第一层是“能发现”。告警来了知道这是不是真攻击优先级多高。很多新手就是卡在这一层看到一条告警就慌不知道怎么判断真假。第二层是“能处置”。确认攻击后知道怎么隔离、清理、止损不让影响扩大。第三层是“能溯源”。从一条日志追到攻击者的手法、工具、入口最后形成报告。这三个层次没有严格的先后顺序但在护网期间绝大多数人的任务集中在第一层和第二层。溯源更多是有经验的师傅在带新人能参与已经很不错了。这篇文章给你的就是一条完整的路先解决“能发现”和“能处置”然后再向上走。2. 应急响应全流程五步法从告警到复盘的标准化动作2.1 第一步快速确认告警别把时间浪费在犹豫上应急响应第一步不是分析是确认。告警一到先做三件事看资产、看时间、看类型。看资产就是搞清楚这个告警来自哪台机器、什么服务、归属于哪个业务系统。看时间就是确定攻击发生的时间窗口这决定了后面查日志的排查范围。看类型就是判断这是漏洞利用、暴力破解、WebShell上传还是可疑外连。这里有个非常关键的实操经验告警确认阶段一定要在最短时间内决定是“立即阻断”还是“继续观察”。护网期间时间就是分数如果攻击者已经打进来了你还在慢慢分析可能他都已经把数据拖走了。我的习惯是凡是出现命令执行、WebShell落地的明确证据直接进处置流程不再犹豫。如果只是扫描探测、暴力破解这种前期行为就继续观察并提高监测频率。2.2 第二步研判分析搞清楚“谁、何时、做了什么”确认告警有效后就进入研判阶段。这个阶段的核心就一句话还原攻击路径。你至少要回答四个问题攻击者从哪个IP来、用了什么手法、打的是哪个漏洞、在系统里做了什么。研判要基于证据不能靠猜。常规分析路径是先从流量日志和告警平台拿到攻击IP和URL再跳到受害主机上查登录日志、进程、文件、网络连接。很多新手会犯一个错误就是拿到告警后直接在主机上瞎翻没有主线。更好的做法是先看告警详情再结合日志做交叉验证。比如告警提示某个PHP文件被上传了那你就要去Web目录下找这个文件同时去access日志里看这个文件有没有被请求有没有执行。2.3 第三步止损隔离宁可切掉一台机器也不要让它扩散止损是应急响应里最底层、也最容易被忽略的环节。很多人为了保住业务可用性不愿意切掉被攻陷的机器结果攻击者在这台机器上装了内网扫描器接着横向移动到更多主机最终酿成更大的事故。我的建议是护网期间一旦确认主机被攻陷优先执行最小化隔离先断外网连接再视情况断开内网连接。如果业务原因不能断就至少要封掉攻击源IP、限制被攻陷账号的权限。这里记住一句话业务可以暂时降级但不能让事态失控。在护网演练里控制范围比保住单点服务重要得多。2.4 第四步取证分析关键是跑一个完整的排查流程止损的同时或之后就要开始取证了。取证的目的有两个一是彻底清除攻击者留下的后门二是为溯源报告准备材料。这一步我放到后面专门开一节讲因为Linux入侵排查本身就是蓝队最常遇到也最考基本功的环节。2.5 第五步总结复盘报告质量决定你的护网价值很多人觉得应急处置完了就结束了其实不对。护网期间的应急响应如果没有一份清晰完整的报告前面的工作价值会大打折扣。报告通常包含事件概述、攻击路径、失陷原因、影响范围、处置动作、加固建议。写报告的时候时间线一定要对齐从检测发现到处置完成每个节点都要有记录。这里分享一个写报告的小技巧不要用“大概”“可能”这种词每一个结论都要对应到日志、文件、进程等证据。比如攻击源IP要对应到登录失败记录WebShell要对应到文件路径和访问URL。报告是给复盘会看的证据链越完整你的专业度就越容易被看见。3. 核心实战环节Linux入侵排查全流程解析3.1 账号与登录痕迹排查先看谁进来过Linux入侵排查我习惯从“人”入手也就是账号和登录记录。攻击者进入系统要么靠爆破、要么靠漏洞、要么靠已有账号无论哪种方式都会在登录痕迹里留下线索。常用命令就是last、lastb、who这些命令读取的是/var/log/wtmp、btmp等文件。重点看非正常时间的登录、来自异常IP的登录以及root账号的登录。这里提醒一下排查时不要把目光只放在root账户上很多攻击者会先创建一个看起来正常的普通账号比如postgres、systemd之类的再赋予sudo权限。实操中要结合/etc/passwd和/etc/sudoers细查重点筛选UID为0的账号、有sudo权限但属于非管理员的账号以及最近几天新增的账号。我记得有一次排查就是靠这个发现问题的日志里root登录一切正常但/etc/passwd里多了一个叫sysadmin的用户创建时间刚好和告警时间对上最后确认是攻击者留的后门账号。3.2 进程与网络连接排查揪出藏在后台的马排查进程和网络连接核心目的就是找出攻击者运行的后门程序和对外通信隧道。推荐使用ps auxf查看进程树重点看几个异常点进程名和路径不匹配的比如进程显示nginx但路径在/tmp下、CPU占用异常高的、父进程ID异常的。网络连接用netstat -antlp或ss -antlp重点看两类一是对外连接可疑IP的长连接比如连到国外的IP、非常用端口二是本地监听在非标准端口的服务。护网期间经常遇到攻击者用Python或者Perl反弹一个shell出来这类行为在进程和网络层面都有明显特征比如/bin/sh的进程多了或者有连接到外部的TCP连接一直不释放。一个比较进阶的排查点是看进程的完整启动参数ps aux可能看不到参数详情要用/proc/PID/cmdline来确认。攻击者很喜欢把恶意命令藏在看起来正常的进程参数里。比如通过nohup /tmp/.x -c ... 启动的东西如果不看cmdline很容易被忽略。3.3 启动项与计划任务排查防止删了马又复活我把这一步叫作“处理副作用”。很多新手清理完恶意进程就以为完事了结果过一会儿马又跑起来了。原因很简单攻击者一定会在系统里埋下持久化机制你只杀了进程没删掉启动项它就自动复活。启动项排查重点看五个位置crontabcrontab -l和/etc/cron.*里的文件、系统服务systemctl list-unit-files重点查新出现的服务、rc.local、/etc/profile.d/下的脚本、以及用户目录里的.bashrc和.bash_profile。特别是crontab这是攻击者最喜欢用的持久化方式之一。我见过一个案例攻击者在cron里每分钟执行一次curl指令从远程下载脚本运行如果不清理这个cron任务你前脚删掉马后脚它又装回来了。排查时一定要把所有用户的crontab都看一遍别只看root的。3.4 WebShell排查Web服务的后门藏得最深护网期间红队最常用的打入手段之一就是WebShell。一旦Web应用有个上传漏洞或者命令执行漏洞攻击者就会扔一个WebShell上去然后用它做跳板。WebShell排查也是最考经验的环节因为恶意文件经常伪装成正常文件混在项目里。常用的方法是先按文件修改时间排序筛查最近几天内新增或修改的PHP、JSP、ASP等脚本文件。然后再用特征码扫描比如搜索eval(、base64_decode、assert(这些危险函数的调用。这里推荐用工具辅助比如find命令结合grep去全网目录扫一遍。但工具只是辅助经验才是核心。我碰到过一个非常像正常文件的WebShell文件名和图片上传统一命名格式内容里大部分是正常代码只在某个函数里藏了一段解密执行的逻辑。这种不靠工具扫描很难发现靠的是对业务逻辑的熟悉。所以护网期间在Web目录排查时最好找业务开发问一下哪些文件是新增的、哪些目录近期有过变更缩小范围后再细查。3.5 日志分析把攻击者的“足迹”串起来日志分析是溯源的关键也是很多新人最头疼的环节。Linux日志主要集中在/var/log目录重点关注的是secure登录和认证日志、message系统运行日志、以及各种应用日志如nginx的access.log。分析登录日志时用grep Failed /var/log/secure可以看到所有爆破失败的记录如果某个IP在短时间内有大量失败记录那基本就是爆破行为。但要注意攻击者成功登录后不一定有失败记录所以还要同时看Accepted的记录把成功登录的时间和IP也标出来。日志分析最忌讳的就是单看一台机器。一次完整的入侵通常会在多台机器上留下痕迹你在A机器看到WebShell去B机器就可能看到登录日志里出现了攻击者的IP。遇到这种事不用慌顺着时间线和IP把各个机器的日志串起来看攻击路径就慢慢清晰了。护网期间如果排查不顺利我建议先停下来画一条时间线把所有已知证据点标上去往往突破口就藏在某个被忽略的时间节点上。4. 工具与系统选择蓝队新手该准备什么4.1 常用工具清单与用法定位很多初学者喜欢收藏一堆工具但真到了护网现场发现能稳定用上的就那几样。我整理了一份蓝队应急响应的常用工具清单定位分三类查进程端口的、查文件的、查日志的。查进程端口首选ps和ss或netstat所有Linux系统自带排查第一步就用它们。查文件推荐find配合stat先按时间找出新增文件再用stat确认文件的创建时间、修改时间、属主等详细信息。查日志方面除了直接grep还可以用logwatch这类工具做汇总分析。如果系统里装了auditd那是最好的因为它的审计日志颗粒度非常细能看到具体命令执行情况。说实话蓝队排查不太需要很华丽的工具更多的是把通用命令用熟练。我见过有师傅用一屏ps和一个grep就能定位问题因为他对系统和业务足够熟悉。工具是辅助思路才是核心。4.2 理解攻击者的思路才能知道怎么防守蓝队和红队看似对抗但底层技术栈是相通的。一个不会攻击的蓝队队员很难真正理解为什么要在这些位置排查。我的建议是如果你是零基础入门先在实验环境里学学常见的攻击手法比如SQL注入拿数据、上传WebShell、用弱口令爆破登录每学会一种攻击手法你对防御和排查就去掉一块盲区。这里的度要把握好学攻击不是为了搞破坏而是为了“知道敌人会怎么做”。护网本来就是攻防演练只有理解了进攻套路防守才能有的放矢。5. 常见问题与避坑实录护网期间最容易踩的坑5.1 告警太多了怎么分清主次护网期间告警平台可能每分钟弹几百条消息如果每条都去查人很快就被拖垮了。我的筛选思路是先看有没有明确漏洞利用的特征再看是不是Web漏洞相关最后看是否涉及核心资产。核心资产被攻击的告警永远是最优先的哪怕看起来只是扫描行为。另外要学会看告警的“业务上下文”。比如一个搜索接口每天产生大量SQL注入告警可能只是扫描器在跑但如果告警发生在凌晨并且来自陌生IP同时后面还跟着WebShell上传记录那就可能是真的攻击了。交叉验证是分主次的最好办法。5.2 主机已经被入侵了但不敢断网怎么办这个问题在护网期间特别常见尤其是核心业务系统。不敢断的主要原因是怕业务中断影响考核分数。但你要知道如果主机被攻陷并且还在被攻击者控制业务数据随时可能被拖走这才是更大的风险。我的经验是分三步走第一步单独封锁攻击者IP第二步在主机上用防火墙规则阻止外部对新端口的连接第三步评估业务影响后再决定是否全面断网。如果攻击者已经有root权限并且安装了后门建议还是尽快做主机隔离然后把服务迁移或重装。护网的规则是死人不会扣分但报警器响了没人管一定扣分。5.3 排查了半天没发现问题怎么办这是很多新手最崩溃的时刻告警确实是攻击但到主机上一查什么都没找到。我遇到过类似场景最后发现问题是出在排查方法上——只看系统日志没看应用日志只查了Web目录没查/tmp目录只查了root的cron没查其他用户的cron。遇到这种情况我建议重新回到告警信息本身把告警里的每个字段都过一遍源IP、目的端口、攻击载荷、命中规则。很多时候答案就藏在告警载荷的细节里比如攻击者用的是哪个漏洞编号这个漏洞攻击成功后通常会释放什么文件、连接哪个端口你再沿着这个路径去查。如果还是查不到就把范围扩大查同一网段的其他机器说不定攻击者早就横向移动了。最后再说一个实在点的经验护网期间心态比技术更重要。遇到告警先深呼吸按流程走一步一步来解决不了及时上报千万不要自己一个人硬扛。每个人都是从零基础过来的只要肯学、肯问、肯动手经历过一次护网洗礼之后你对安全的认知会完全不一样。这套流程你先收好遇到实际场景多练几遍一定会越用越顺。