某跨国金融集团在一次季度性网络安全攻防演练中，模拟了外部攻击者通过钓鱼邮件渗透内网的全过程。红队成员伪装成合作方发送带有恶意宏的Excel文件，成功诱使一名财务部门员工启用宏代码，从而获取初始访问权限。
\n\n横向移动与权限提升
\n拿到入口后，攻击者利用该员工电脑上缓存的域凭证，通过PsExec工具向内部运维服务器发起连接。由于该服务器未及时打补丁，存在MS17-010漏洞，进一步实现了提权操作。整个过程耗时不到两小时，暴露出企业在终端管控和补丁管理上的短板。
\n\n蓝队监测到异常行为是在攻击发生后的第90分钟，SIEM系统捕捉到多个主机出现频繁的SMB协议通信，且目标集中在高权限账户所在的服务器。虽然告警被记录，但因规则阈值设置过高，未能触发实时通知。
\n\n防御策略调整实例
\n演练结束后，企业立即更新了组策略，禁用所有办公终端的Office宏功能，并启用AppLocker限制可执行程序运行范围。同时优化日志分析规则，将横向移动常见特征如Kerberos请求暴增、非工作时间远程登录等纳入高优先级检测项。
\p>\\ 使用PowerShell检测近期登录事件示例
Get-WinEvent -LogName Security | Where-Object { $_.Id -eq 4624 } |
Select-Object TimeCreated, UserId, LogonType |
Where-Object { $_.LogonType -eq 10 } # 远程交互式登录另一起制造业企业的演练中，攻击方采用物理方式接入工厂网络交换机，插入预置后门的Raspberry Pi设备，实现长期驻留。这种“灯下黑”式的攻击绕过了边界防火墙，直到蓝队在例行资产扫描中发现未知IP才被识别。
\n\n从被动响应到主动狩猎
\n越来越多大型企业开始引入威胁狩猎机制，在无明确告警的情况下主动搜索潜在入侵痕迹。例如通过EDR平台回溯三个月内的进程启动链，查找隐蔽持久化行为。有公司曾在演练前自查时发现某个伪装成svchost.exe的服务实际路径位于临时目录，及时清除避免了实战中的失分。
\n\n攻防演练不再是走流程的“过场子”，而是真正检验应急响应速度和技术储备的试金石。一次成功的防御往往建立在对攻击路径的深度理解之上，比如识别C2通信时不仅看域名黑白名单，还会分析TLS指纹、心跳周期等更底层特征。
","seo_title":"大型企业攻防演练案例分享｜真实渗透与防御复盘","seo_description":"通过多个大型企业真实攻防演练案例，揭示常见入侵路径与防御盲点，涵盖钓鱼攻击、横向移动、物理接入等典型场景及应对策略。","keywords":"大型企业攻防演练案例, 网络安全攻防演练, 企业渗透测试案例, 红蓝对抗实战, SIEM告警优化"}