场景：2026年9月，某省级城商行数据中心。SOC值班员在凌晨巡检时，发现一台核心业务服务器持续向一个陌生域名发起DNS查询，频率规律、间隔精确，触发了NDR平台的异常外联告警。
攻击 / 事件时间线
初始线索：异常DNS请求浮出水面
凌晨2:17，SOC值班员收到NDR告警：内网服务器10.12.x.87在过去6小时内向域名cdn-update[.]xyz发起3842次DNS查询，每次间隔约5.6秒，请求类型均为A记录，但响应IP频繁变化（Fast Flux特征）。该服务器为对公信贷业务节点，不应访问互联网。值班员立即在SIEM中关联该主机近7天日志，发现同一时段还有svchost.exe异常外联443端口的行为。初步研判：疑似C2心跳通信。
NDR平台SIEMDNS日志分析
深度研判：定位恶意进程与载荷
蓝队介入后，通过EDR调取该主机进程树，发现一个伪装为WindowsUpdateSvc.exe的进程，其父进程为w3wp.exe（IIS工作进程），路径位于C:\Windows\Temp\。提取该样本进行沙箱分析，确认其为Cobalt Strike Beacon变种，使用DNS-over-HTTPS隧道回传数据。进一步通过Sysmon日志（Event ID 3、11、22）还原：攻击者利用某国产Electron框架OA系统的反序列化漏洞获取初始Shell，随后注入IIS进程实现持久化。
EDRSysmonCobalt Strike Beacon分析沙箱
横向排查：锁定失陷边界与跳板
蓝队以失陷主机为起点，通过NetFlow和域控日志排查横向移动痕迹。发现攻击者使用Impacket的atexec.py通过SMB协议尝试连接内网5台服务器，其中2台存在管理员凭据复用，已被植入相同Beacon。同时，在边界防火墙上回溯发现，攻击者最初通过OA系统的/api/deserialize接口传入恶意序列化数据，利用ysoserial生成的利用链触发RCE。整个攻击链路从初始访问到C2建立，耗时不到40分钟。
ImpacketNetFlow域控日志ysoserial
围剿清除：阻断C2与溯源反制
确认攻击链路后，蓝队执行应急响应：①在边界DNS服务器上封禁cdn-update[.]xyz及关联的12个Fast Flux IP段；②通过EDR下发隔离策略，终止所有Beacon进程并删除计划任务；③重置受影响账户密码，启用LAPS强制本地管理员密码轮换；④在防火墙上部署YARA规则，拦截后续同类DNS隧道特征。同时，蓝队通过C2域名的WHOIS和被动DNS数据，关联到攻击者使用的VPS提供商，固定证据并上报监管机构。
YARALAPS被动DNSWHOIS
蓝队视角 · 发现与处置
本次事件中，SOC的快速响应得益于NDR对DNS异常的敏锐捕获。值班员没有简单关闭告警，而是主动关联SIEM和EDR数据，在30分钟内完成从告警到确认C2的研判。蓝队随后启动应急响应预案，通过进程树分析和沙箱确认恶意载荷，利用NetFlow和域控日志定位横向移动范围，最终在72小时内完成清除、阻断和溯源。关键动作包括：封禁C2域名与IP、EDR隔离失陷主机、重置凭据、部署YARA检测规则，并将IOC同步至监管平台。整个处置过程未影响核心业务连续性。
涉及关键技术 / 工具
DNS隧道与Fast Flux检测：通过NDR监控高频、规律性DNS查询，结合响应IP变化识别C2心跳Sysmon日志溯源：利用Event ID 3（网络连接）、11（文件创建）、22（DNS查询）还原攻击链YARA规则拦截：基于Beacon样本特征编写YARA规则，在边界和终端侧同步部署检测
防护经验总结
- 在DNS服务器上启用响应策略区域（RPZ），对已知恶意域名和Fast Flux IP段进行实时阻断，并定期更新威胁情报源
- 对IIS等对外服务进程启用Sysmon完整日志采集（至少覆盖Event ID 3、11、22），并配置EDR对子进程创建行为的告警规则，尤其是
w3wp.exe派生的异常进程 - 强制实施本地管理员密码轮换（LAPS）和服务账户最小权限原则，禁用跨系统的管理员凭据复用，阻断横向移动的凭据传递路径
#DNS隧道#C2狩猎#威胁狩猎#应急响应#Cobalt Strike