本文复盘了 2022 年护网行动中的攻防实战经验。从攻击方角度分析了分布式扫描、Webshell 管理、钓鱼攻击、内网渗透及 0day 漏洞的使用策略；从防守方角度探讨了事前排查、事中监控、事后溯源的全流程防御体系，指出了防御过度、重边界轻内网等常见问题。文章重点介绍了 RASP、EDR、蜜罐等技术手段在应对 0day 攻击中的应用，并强调了零信任架构与常态化安全运营的重要性，旨在为安全从业人员提供实战参考与技术指引。
国家网络安全实战演习（简称'护网'）是检验各单位网络安全防御能力的重要演练。随着网络攻击手段的日益复杂，攻防对抗已从单纯的技术比拼转向体系化、智能化的较量。本文基于对 2022 年护网行动的观察与复盘，从攻击方与防守方两个维度，深入分析攻防策略、工具使用及防御体系建设中的关键问题，旨在为安全从业人员提供有价值的参考。
本次攻防演习在规则制定与各方实力对比上均呈现出前所未有的特点。关于攻击队与防守队的优劣，业界常有争论。攻击方的优势在于主动性与隐蔽性，可在非特定时间发起攻击，利用 0day 漏洞实现精准打击，遵循木桶原理，攻破一处即可渗透内网。防守方则拥有全量流量访问权限，可实时监控并封堵 IP，部署蜜罐诱捕攻击者，并在主机层进行深度监控。
攻防本质是对立统一的过程，道高一尺魔高一丈。核心在于如何在攻守之间寻求突破与平衡。以下将从具体战术层面展开分析。
在真实攻击行动中，获取核心系统通常需要数周甚至数月，但护网时间窗口有限（通常 3 周），且目标众多，因此快速、自动化成为关键。
Webshell 管理工具是攻击链中的重要环节，其演变反映了攻防技术的博弈。
水坑与鱼叉攻击是突破边界的有效手段，主要基于邮件投递。
突破边界后，内网渗透的核心是横向移动与纵向提权，关键在于信息收集。
本次演习中发现了多个 0day 漏洞，覆盖 Web、网络、操作系统等领域。
防守工作涵盖事前排查、事中监控、事后溯源三个阶段。
部分单位因重视程度过高，出现防御过度现象，如大规模关停系统、封禁整个 B 段 IP。这不仅影响正常业务，也未能从根本上解决问题。建议从根源排查漏洞，加固系统，而非简单粗暴地阻断。
临时购买渗透服务往往无法覆盖全部内网漏洞，尤其是新增业务。建议建立常态化的漏洞管理机制：
普遍存在的'重边界、轻内网'策略导致边界失守后内网迅速沦陷。应借鉴 Zero Trust（零信任）理念，不默认内网安全。一旦内网失守，可能引发重大社会影响，需转变思维，构建纵深防御体系。
传统 IOC 情报（恶意域名/IP 库）在演习中效果有限，因为攻击方使用新域名。但厂商提供的威胁情报库帮助许多单位发现办公电脑已被控制的情况，体现了情报在未知威胁发现中的作用。
面对 0day，基于黑名单的设备（WAF、态势感知、IDS）往往失效。有效的防御手段包括：
蜜罐是本次演习的一大亮点，用于诱捕和引流。
网络安全是一场持久战。攻击方追求速度与隐蔽，防守方追求全面与稳定。未来的攻防将更多依赖于自动化工具、人工智能辅助决策以及零信任架构的落地。
对于企业而言，不应仅满足于演习期间的合规，而应建立长效的安全运营机制。加强资产梳理、完善应急响应流程、提升全员安全意识，才是应对未来网络威胁的根本之道。同时，安全人员应持续学习新技术，关注二进制远控、无文件攻击等前沿领域，不断提升自身的攻防实战能力。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online
将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。 在线工具，HTML转Markdown在线工具，online
通过删除不必要的空白来缩小和压缩JSON。 在线工具，JSON 压缩在线工具，online
将JSON字符串修饰为友好的可读格式。 在线工具，JSON美化和格式化在线工具，online
