局域网内部病毒和攻击检测工具

去年秋天，局域检测我们办公室的网内路由器突然开始疯狂掉线。IT小哥一开始以为是部病运营商的问题，折腾了半天，毒和最后在网关日志里抓到一台内网机器每秒钟往外发3000多个ARP请求。攻击工具那是局域检测一台测试机，中了蠕虫，网内正在扫描整个子网。部病这件事让我意识到，毒和很多人以为“外网防住就安全了”，攻击工具但局域网内部的局域检测横向移动才是真正要命的地方。

局域网内部的网内病毒和攻击检测，核心逻辑跟边界防护完全不一样。部病边界上你可以堆防火墙、毒和IDS、攻击工具WAF，流量方向清晰，规则也好写。但内网是一团乱麻：几十上百台设备互相通信，协议五花八门，正常行为和异常行为之间的界限模糊得很。一台机器突然开始扫描445端口，可能是运维在做资产盘点，也可能是勒索软件在找下一个目标。

先搞清楚内网里到底有什么在跑

做检测之前，得先有一份“底账”。我见过太多小网络，连自己有多少台设备在线都说不清楚。ARP表扫一遍，发现三台没人认领的机器，其中一台还开着Telnet。这就是隐患。

被动监听是最不打扰业务的方式。在核心交换机上做端口镜像，把流量复制一份给检测探针。探针不需要多高级，一台装了Zeek（以前叫Bro）的Linux盒子就够用。Zeek能解析ARP、DNS、HTTP、SMB这些常见协议，自动生成连接日志。你不需要一开始就写规则，先跑一周，看看内网到底在发生什么。你会发现很多意想不到的东西：某台打印机在往外发DNS查询、某个财务软件在偷偷跑P2P。

ARP欺骗和内网扫描是最常见的两类威胁

ARP欺骗在内网里太容易实现了。攻击者发一个伪造的ARP响应，就能把自己伪装成网关，所有流量都从他那儿过。检测方法不复杂：维护一张IP-MAC映射表，定期比对。如果同一个IP对应的MAC变了，或者同一个MAC声称拥有多个IP，直接告警。我用过一个开源工具叫arpwatch，虽然老，但管用。它会发邮件告诉你“某某IP的MAC地址变了”，你收到邮件就去查，十有八九有问题。

内网扫描的检测更依赖行为分析。正常机器不会在一分钟内连接50个不同IP的22端口。Snort或者Suricata这类IDS可以写规则：单位时间内SYN包数量超过阈值就报警。但阈值要调，调高了漏报，调低了误报。我的经验是，先观察一周的正常流量基线，取峰值的三倍作为初始阈值，后面再慢慢微调。

别忽略DNS和SMB这两个重灾区

DNS是内网里最安静的协议，也是最危险的。恶意软件用DNS做隧道，把数据编码在域名里往外传。检测方法：看DNS查询的域名长度和熵值。正常域名像www.baidu.com，短且有规律。恶意域名像a3f8b2c1d4e5.tunnel.evil.com，又长又随机。Zeek的DNS日志里可以直接过滤出这类查询。

SMB更直接。勒索软件在内网横移，靠的就是SMB的远程执行。如果一个普通工作站突然开始向多台机器的445端口发起连接，而且尝试写入可执行文件，基本可以确定中招了。Windows事件日志里，安全日志的4624和5140事件能帮你追踪这类行为。但前提是你得把日志集中收集起来，单机看根本来不及。

工具选型：别追求大而全

很多人一上来就想部署一套SIEM，结果数据源没接全，规则没调好，最后变成一个昂贵的日志存储。我的建议是从小处着手：先解决ARP和扫描检测，用Zeek加几个脚本就能跑起来。等摸清内网流量特征了，再考虑上Suricata做深度包检测。如果预算有限，Security Onion这个发行版把Zeek、Suricata、Elasticsearch都打包好了，装完就能用，省去大量配置时间。

还有一点：检测工具本身不能成为负担。我见过一个团队部署了全套IDS，结果每天收到上千条告警，最后没人看了。规则要精简，告警要分级。高危的（比如ARP欺骗、SMB爆破）直接发短信，低危的（比如一次端口扫描）记日志就行。人脑的注意力是有限资源，别浪费在噪音上。

内网安全没有一劳永逸的方案。今天你封了445端口，明天攻击者用WMI。检测工具的价值在于给你争取时间——在病毒从一台机器扩散到整个子网之前，让你有机会拔掉那根网线。