攻击者，拿到这台终端之后，能干什么？
安全知识 / 终端安全 / 攻击链分析
先把自己放到
攻击者的位置
如果我是攻击者，拿到这台终端之后，能干什么？
评价终端安全方案的好坏，有个简单有效的方法：不先看功能清单，而是先回答上面这个问题。 本文以医疗内网中一台普通门诊工作站为假想目标，沿一条完整的攻击链推进，逐环分析对应防线的技术实现， 以及它在什么条件下会失效。初始访问
执行落地
权限维持
数据收集
加密破坏
引言
换一个提问方式
功能清单是防守方的语言，攻击链才是攻击者的语言。当我们把问题从 「我们买了什么」 换成 「对方会怎么走」， 终端安全的建设重点就会立刻变得清晰——因为攻击链是一条完整的路径，任何一环被击穿， 前面的投入都会归零。
本文以医疗内网中一台普通门诊工作站为假想目标，按一条完整的攻击链推进： 初始访问 → 执行落地 → 权限维持 → 数据收集 → 数据外传 → 加密破坏。 每一环分析对应防线的技术实现，以及它在什么条件下会失效。文中以 迪康端点安全一体化系统 这类一体化终端安全平台作为防守侧的参照实现。
全链路
六个环节，一条路径
攻击者不会按功能模块出牌，只会沿阻力最小的那一条路往前走。
RISK 01
初始访问
怎么进来
RISK 02
执行落地
载荷跑起来
RISK 03
权限维持
站住脚
RISK 04
数据收集
找值钱的
RISK 05
数据外传
运出去
RISK 06
加密破坏
勒索临门一脚
01初始访问
终端被入侵的入口高度收敛，常见的无非三类：
🔸钓鱼载荷邮件附件、IM 传过来的「患者名单.exe」、伪装成 PDF 的 LNK / HTA。
🔸移动介质摆渡外来 U 盘、外包维护人员的维修盘、被感染的打印机一体 USB 口。
🔸漏洞利用浏览器、Office 插件、老旧系统的永恒之蓝类漏洞，对暴露在脆弱终端面前的服务端口打远程利用。
应用白名单
默认拒绝、按哈希 / 签名 / 路径三要素放行的白名单，是阻断未知载荷最彻底的手段——不在名单里的程序， 连创建进程的机会都没有。工程上的成熟做法是白名单与软件库联动：员工走申请流程装软件，审批通过自动进名单， 避免「为省事全员放开」。
外设管控
在 USB 存储设备栈上挂过滤驱动，按设备实例 ID 与硬件序列号做授权判定，可以物理断掉摆渡通道。 可靠的形态是分级授权加审批流：工作 U 盘登记授权，临时需求线上审批、到期自动回收。
补丁与基线
默认拒绝、按哈希 / 签名 / 路径三要素放行的白名单，是阻断未知载荷最彻底的手段——不在名单里的程序， 连创建进程的机会都没有。工程上的成熟做法是白名单与软件库联动：员工走申请流程装软件，审批通过自动进名单， 避免「为省事全员放开」。
02执行与权限维持
载荷落地后，攻击者第一件事是稳住阵地：提权到管理员、装持久化（计划任务、服务、注册表 Run 键、DLL 劫持）， 然后想办法关掉安全软件。这一环的对抗最考验 Agent 自身的工程质量。
自我保护能力
如果杀进程、删服务、卸载 Agent 不需要管理员以上的对抗，那前面所有防线都是纸糊的。 合格的终端 Agent 需要驱动级的进程与注册表保护：关键进程句柄拒绝非法打开、服务删除请求在内核层拦截、 卸载入口校验服务端签发的离线授权码。更高阶的对抗涉及 BYOVD （自带漏洞驱动提权终止安全进程）——攻击者加载一个有签名但有漏洞的驱动来杀掉安全组件， 防守方需要维护已知漏洞驱动黑名单并阻断其加载。
软件与配置基线
攻击者维持权限常依赖顺手工具：远程控制软件、加密代理隧道、各类「运维小工具」。 软件黑名单加安装管控能抬高这个成本——非常用软件装不上，装了也运行不了。 同时基线核查持续盯住账户策略、共享目录、远程桌面配置。
03数据收集
站住脚之后就是翻箱倒柜：遍历磁盘找文档、翻数据库连接配置、读浏览器保存的密码、 从业务系统客户端的缓存里捞数据。防线在文件系统层。
透明加密
在 Minifilter 驱动层工作，对授信进程（HIS 客户端、EMR 客户端）返回明文，对非授信进程返回密文。 攻击者拖走的文件是加密态的，这是静态数据的兜底防线。
凭据与配置保护
业务系统的数据库连接串、VPN 配置里埋着的账号，是攻击者横向移动的跳板。 基线核查加敏感配置文件扫描，能把这类「准凭据」找出来收编管理。
04数据外传
这是内部威胁与外部攻击的交汇点，也是泄露事件的高发区。外传通道可以穷举出来： U 盘、邮件附件、即时通讯文件传输、网页网盘上传、截屏拍照、打印带出， 甚至粘贴到大模型对话里。
🔸U盘与移动介质过滤驱动分级管控（禁用 / 只读 / 授权读写），审批流管例外。
🔸截屏封堵系统截图 API、截图工具与录屏通道。技术上要注意覆盖
Win+Shift+S、第三方工具、 远程桌面截屏等多个路径——只 Hook 一个 PrintScreen 等于没做。
🔸打印打印驱动水印叠加审计日志，纸质资料带出后可回溯到「哪台终端、哪个账号、什么时间、打的什么文件」。
🔸屏幕水印对手机拍照这个物理通道，技术无法阻断，只能靠包含姓名、工号、终端、时间的动态水印形成威慑与溯源能力—— 拍下来也能找到人。
🔸网络行为审计对网盘、个人邮箱、IM 文件传输的识别与管控，以及对公有大模型应用的访问识别—— 把「把患者信息粘贴进 AI 对话框」这类新通道纳入监控面，是当前审计模块必须补齐的能力。
平台化实现的额外优势
多个通道的审计事件统一进一个数据底座，检索时以 「人」或「文件」 为线索横向关联， 而不是在多个独立后台里拼图。
05加密破坏
数据拷得差不多，或者根本不想费劲，直接上勒索：批量加密文件，挂出勒索信。 现代勒索的加密行为有明显的行为特征——短时间内对海量文件做「读取 → 写入高熵密文 → 重命名」的原子操作。
行为检测型防勒索
不靠特征库，而是盯着行为模式：监控进程的批量文件操作速率与写入数据的熵值， 配合蜜罐文件试探（专设诱饵文档，谁碰谁可疑），在加密规模化之前终止进程。
两道配套机制决定恢复能力
文档自动备份：对核心目录做实时备份快照，误杀可回滚、中招可恢复， 避免「为了防勒索把业务文件锁死」的副作用。
驱动级数据通道隔离：检测到勒索行为后，第一时间断掉该进程的文件写入能力，缩小加密半径。
06攻击之后
审计还原：最后一道，也是下一道防线
所有防线都可能被击穿，此时决定损失规模的是溯源速度与恢复能力。
完整的行为审计（文件操作、外设、打印、登录、进程）按 「终端 + 用户 + 事件类型 + 时间」 四维索引，价值体现在三个时刻：
定损确认哪些文件被读、被拷、被外传，评估泄露面。
定性外部入侵还是内部操作——双标签审计（设备 + 账号）让「谁干的」不再依赖口供。
改防把攻击路径上被绕过的那道防线，变成新的基线规则。
一体化平台最不易被替代的地方
攻击链横跨初始访问、执行、外传等多个环节，只有共享同一数据底座的审计， 才能以一条时间线还原完整链路。