### 内网报警处理方式

第一步：确认与隔离 

- **确认报警的真实性**：收到内网报警后，首先要核实报警是否为误报。查看报警日志的详细信息，例如源IP、目标 IP、端口、协议、以及告警类型。与业务部门或相关人员沟通，确认报警行为是否属于正常的业务操作
- **物理或逻辑隔离**：如果确认报警是恶意行为，必须立即隔离涉事主机。你可以通过关闭网络端口、在交换机或防火墙上设置 ACL 规则、甚至直接拔掉网线来物理或逻辑上切断该主机与网络的连接。这能有效防止攻击者进行横向移动，或恶意行为继续蔓延

**第二步：信息收集与初步分析**

在隔离主机后，立即对该主机进行信息收集，为后续的分析和取证做准备

- **检查进程和网络连接**：使用 `netstat -anp`、`ps -ef` 等命令查看主机上是否有异常进程和网络连接。特别留意那些非正常业务进程、向外部或内网其他主机发起的连接
- **查看日志文件**：
  - **系统日志**：检查 `/var/log/secure`（Linux）或 Windows 事件日志，寻找异常登录、提权、或可疑的用户行为
  - **应用日志**：检查 Web 服务器、数据库等应用日志，看是否有异常请求或操作记录
- **文件系统检查**：
  - **近期修改文件**：使用 `find / -mtime -1` 等命令查找最近创建或修改过的可疑文件，这可能与攻击者上传的后门或工具相关
  - **敏感文件**：检查 `/tmp`、`/var/tmp` 等临时目录，看是否有恶意程序或脚本

**第三步：深入分析与研判**

在收集完基础信息后，需要对这些信息进行深入分析，以确定攻击者的身份和攻击目的

- **溯源攻击者**：
  - **IP 溯源**：如果报警源是内网 IP，可以根据该 IP 地址的分配规则或资产管理系统，定位到具体的楼层、办公室或设备
  - **用户账户**：通过查看登录日志、堡垒机日志或应用日志，定位到具体的操作账户。如果该账户属于某个员工，还需要进一步核实是其本人操作，还是账户被盗用
- **确定攻击意图**：
  - **数据窃取**：检查是否有大量数据被打包或传输到外部
  - **横向移动**：查看攻击者是否尝试连接内网其他主机，这可能是为了扩大攻击范围
  - **恶意破坏**：检查是否有关键文件被删除、修改，或系统配置被篡改

**第四步：清除、修复与加固**

在明确了攻击者的身份和意图后，就可以着手进行全面的清除、修复和加固工作

- **恶意代码清除**：
  - **杀死恶意进程**：通过 `kill` 命令或任务管理器结束恶意进程
  - **删除恶意文件**：彻底删除所有后门程序、木马、恶意脚本和上传的 WebShell
- **漏洞修复**：
  - **修复漏洞**：如果是通过漏洞入侵，需要立即修复该漏洞
  - **修改密码**：如果账户被盗用，立即修改所有相关账户的密码
- **安全加固**：
  - **权限收紧**：对账户权限进行重新审计，遵循最小权限原则，限制不必要的访问权限
  - **升级系统与补丁**：安装所有必要的系统和应用补丁，提升系统安全性