sentinel, Lab
场景 4 — 阶段三：全面排查与清除
全量排查
| 维度 | 排查内容 |
|---|---|
| 依赖全面扫描 | 所有生产系统的 SBOM 完整比对，锁定每一个使用受影响组件的服务 |
| 后门 IOC 全面搜索 | 文件哈希 / 网络 IOC / 注册表项 / 内存特征码 / 进程行为特征 |
| 横向移动痕迹 | 后门是否已从初始点横向扩散，是否感染了构建 / 部署 / 运维系统 |
| 数据泄露评估 | C2 通信期间传输了什么数据，DLP / 网络流量日志回溯分析 |
后门清除
- 受影响系统全量下线：所有包含后门组件的系统停止服务，不尝试”修补”，直接下线
- 存储数据完整性验证：数据库 / 文件存储是否被篡改
- CI/CD 管道重建：构建服务器完全重置，构建脚本从安全备份恢复
- 证书 / 密钥全面替换：TLS 证书 / API 密钥 / SSH 密钥
- 持久化机制消除：计划任务 / 系统服务 / 启动项 / 容器编排配置
攻击溯源
| 维度 | 分析内容 |
|---|---|
| 后门代码分析 | 逆向分析后门功能模块，C2 通信协议 / 数据窃取逻辑 |
| C2 基础设施分析 | C2 服务器归属 / 托管信息，TLS 证书 / 域名注册关联 |
| 威胁情报关联 | 与已知 APT 组织 TTP 匹配 |
| 供应链攻击链还原 | 攻击者如何入侵供应商，后门注入的具体环节和方式 |
清除后验证确认
- 全量扫描无后门残留
- 无异常外联通信
- CI/CD 管道已重建验证
- 凭证轮换完成
- 数据完整性确认