场景：某省级政务云租户，周三凌晨2点17分，SOC平台突然弹出一条Sysmon进程链异常告警——一台Web服务器上出现了从未见过的父子进程关系。当班分析师只有一人。
攻击 / 事件时间线
初始告警：一条不起眼的进程链
凌晨2:17，SOC平台触发规则proc_chain_anomaly_017：w3wp.exe（IIS工作进程）派生了一个cmd.exe，后者又拉起了powershell.exe。正常业务中，w3wp绝不应该调用命令行。当班分析师第一时间调取Sysmon Event ID 1（进程创建）原始日志，发现powershell命令行携带了-enc参数，Base64解码后是一段AMSI绕过+下载器代码。告警等级瞬间从P3拉升至P1。
SysmonSplunkCyberChef
快速研判：三条日志锁定失陷范围
分析师没有急于隔离，而是先用Sysmon Event ID 3（网络连接）回溯该powershell进程的外联IP，发现它正与一个境外VPS的443端口保持心跳。接着用Event ID 11（文件创建）排查同时间段落盘文件，在C:\Windows\Temp下发现svchost.exe的伪装副本。再通过Event ID 7（模块加载）确认该进程加载了clrjit.dll——典型的Cobalt Strike Beacon特征。三条日志交叉验证，确认主机已被植入后门。
SysmonVirusTotalCobalt Strike Beacon特征库
横向排查：同网段是否存在第二台
单台失陷不足以定性为APT，分析师立即用Sysmon Event ID 3的DestinationIp字段在全网日志中检索该VPS IP，发现同网段另一台数据库服务器在2:31也有过一次短暂连接，但进程是sqlservr.exe。进一步查看该服务器的Event ID 1，发现一个名为SqlServerUpdate.exe的异常进程在2:29创建，父进程为sqlservr.exe。攻击者正在利用SQL Server的xp_cmdshell进行横向移动。
Splunk关联搜索SysmonSQL Server审计日志
处置闭环：隔离、取证、溯源
确认双机失陷后，分析师在15分钟内完成：①通过EDR对两台主机执行网络隔离，保留内存镜像；②提取Beacon样本的C2配置（通过volatility3从内存中dump出beacon.dll）；③在防火墙封禁VPS IP及域名；④用YARA规则扫描全网，确认无第三台失陷。从首条告警到处置完成，总计72分钟。
EDRVolatility3YARA防火墙策略
蓝队视角 · 发现与处置
SOC分析师基于Sysmon进程链告警启动研判，通过Event ID 1/3/11/7四类日志交叉验证，30分钟内确认失陷并发现横向移动痕迹。处置阶段先隔离后取证，保留内存镜像用于C2提取，同时用YARA全网扫描排除第三台。关键决策：未在第一时间断网，而是先完成日志固定和横向排查，避免攻击者察觉后清除痕迹。
涉及关键技术 / 工具
Sysmon Event ID 1/3/7/11 多维度日志关联分析Cobalt Strike Beacon内存取证与C2配置提取（Volatility3）xp_cmdshell横向移动检测与SQL Server审计日志联动
防护经验总结
- 部署Sysmon时务必启用Event ID 7（模块加载）和Event ID 11（文件创建），这两个事件是识别Beacon内存加载和落盘伪装的关键；建议配置
clrjit.dll、amsi.dll等敏感模块的加载告警规则。 - 对IIS/Web服务器设置进程链白名单：
w3wp.exe禁止派生cmd.exe/powershell.exe，可通过Sysmon配置或EDR规则强制拦截，从源头切断WebShell执行链。 - SQL Server禁用
xp_cmdshell，如业务必须使用则限制执行账户权限并开启审计日志；同时将数据库服务器纳入Sysmon覆盖范围，避免成为日志盲区。
#日志分析#Sysmon#应急响应#横向移动#Cobalt Strike