终端与主机
一台机器被攻破之后，攻击者往里走的每一步都要付出代价。基线、检测、证据三件事在这里收口。
- 更新Updated
- 2026.10.17
3 篇文章3 articles1 个子目录1 sections
终端是这套基线里最不设防的一环：它在网络之外、在攻击面最广的位置上、并且掌握着域的凭据。前两节把边界和权限收紧了，最后这一节决定的是：一旦某一台机器失守，损失是一台机器，还是整个域。
三件事
| 做什么 | 目的 | |
|---|---|---|
| 加固 | 关掉不需要的功能、端口、协议 | 让「能打进来的门」少一扇 |
| 检测 | 记录进程创建、命令行、网络连接 | 出事时能还原过程 |
| 留证 | 日志集中收集、不在本机保存太久 | 本机被清空也不影响追查 |
顺序有讲究：先留证，再加固。日志采集的优先级高于加固项——一个加固过但没日志的机器，出事之后什么都证明不了。
为什么不直接用 EDR
EDR 是好东西，但它的成本不只是钱：
- 内核驱动在老机器上会带来稳定性问题。
- 策略调优需要持续投入，配置不当会淹没告警（回到 Suricata 那篇的同一个问题）。
- 它不替代基线。EDR 能看见有人在删日志，但它拦不住 RDP 端口对外开着。
所以这一节的写法是基线优先、检测补位。有预算上 EDR 是好的，没有的话下面这三篇足够把风险压到一个可接受的水位。