顺着攻击链看迪康终端安全

1. 引言：先把自己放到攻击者的位置

评价终端安全方案的好坏，有个简单有效的方法：不先看功能清单，而是先问一句——如果我是攻击者，拿到这台终端之后能干什么？

本文以医疗内网中一台普通门诊工作站为假想目标，按一条完整的攻击链推进：初始访问 → 执行落地 → 权限维持 → 数据收集 → 数据外传 → 加密破坏。每一环分析对应防线的技术实现，以及它在什么条件下会失效。文中以迪康端点安全一体化系统这类一体化终端安全平台作为防守侧的参照实现。

2. 第一环：初始访问——攻击者怎么进来的

终端被入侵的入口高度收敛，常见的无非三类：

钓鱼载荷：邮件附件、IM 传过来的"患者名单.exe"、伪装成 PDF 的 LNK/HTA；

移动介质摆渡：外来 U 盘、外包维护人员的维修盘、被感染的打印机一体 USB 口；

漏洞利用：浏览器、Office 插件、老旧系统的永恒之蓝类漏洞，对暴露在脆弱终端面前的服务端口打远程利用。

对应的防守技术与各自的失效条件：

应用白名单。默认拒绝、按哈希/签名/路径三要素放行的白名单，是阻断未知载荷最彻底的手段——不在名单里的程序连创建进程的机会都没有。但它的失效条件同样明确：白名单规则过宽（按目录放行，如放行整个 C:\Users）、管理员私装软件破坏基线、脚本解释器被放行后攻击者用 PowerShell/JScript 落地无文件攻击。工程上的成熟做法是白名单与软件库联动：员工走申请流程装软件，审批通过自动进名单，避免"为省事全员放开"。

外设管控。在 USB 存储设备栈上挂过滤驱动，按设备实例 ID 与硬件序列号做授权判定，可以物理断掉摆渡通道。失效条件：只封 U 盘不封手机 MTP/PTP 模式、不封光驱和蓝牙——任何一个未管控的通道都是备选入口；另外"全员禁用、特殊情况口头借用"的管理模式，本质是制度防线而非技术防线，迟早被绕开。可靠的形态是分级授权加审批流：工作 U 盘登记授权，临时需求线上审批、到期自动回收。

补丁与基线。漏洞利用类入口的治本手段。失效条件不是没打补丁，而是打补丁之前没人知道哪些终端缺：资产底数不清的网里，永远有一台"负责收款的老机器"三年没更新过。所以补丁的前提是持续准确的资产测绘——设备上线即发现、指纹去重、漏洞扫描结果与基线评分实时关联。

3. 第二环：执行与权限维持——进来了怎么站住脚

载荷落地后，攻击者第一件事是稳住阵地：提权到管理员、装持久化（计划任务、服务、注册表 Run 键、DLL 劫持），然后想办法关掉安全软件。

这一环的对抗最考验 Agent 自身的工程质量：

自我保护能力。如果杀进程、删服务、卸载 Agent 不需要管理员以上的对抗，那前面所有防线都是纸糊的。合格的终端 Agent 需要有驱动级的进程与注册表保护：关键进程句柄拒绝非法打开、服务删除请求在内核层拦截、卸载入口校验服务端签发的离线授权码。更高阶的对抗涉及对抗 BYOVD（自带漏洞驱动提权终止安全进程）——即攻击者加载一个有签名但有漏洞的驱动来杀掉安全组件，防守方需要维护已知漏洞驱动黑名单并阻断其加载。

软件与配置基线。攻击者维持权限常依赖顺手工具：远程控制软件、加密代理隧道、各类"运维小工具"。软件黑名单加安装管控能抬高这个成本——非常用软件装不上，装了也运行不了。同时基线核查持续盯住账户策略、共享目录、远程桌面配置，堵住"弱口令 + 远程桌面开放"这种经典组合拳。

这一环的现实结论是：终端侧没有攻不破的 Agent，只有提高攻击成本的 Agent。设计目标是让单机对抗成本高到攻击者放弃，而不是宣称无懈可击。

4. 第三环：数据收集——找到值钱的东西

站住脚之后是翻箱倒柜：遍历磁盘找文档、翻数据库连接配置、读浏览器保存的密码、从业务系统客户端的缓存里捞数据。

防线在文件系统层：

透明加密在 Minifilter 驱动层工作，对授信进程（HIS 客户端、EMR 客户端）返回明文，对非授信进程返回密文。攻击者拖走的文件是加密态的，这是静态数据的兜底防线。失效条件值得单独说透：

白名单进程本身被利用（如通过 Office 宏让 Word 这个"授信进程"代读代存）——所以需要白名单最小化，只放行真实业务进程；

数据经由授信进程自身的导出功能合法流出——透明加密管不了"应用自愿交出去"的数据，这正是下一环要解决的问题。

凭据与配置保护常被忽视：业务系统的数据库连接串、VPN 配置里埋着的账号，是攻击者横向移动的跳板。基线核查加敏感配置文件扫描，能把这类"准凭据"找出来收编管理。

5. 第四环：数据外传——值钱的怎么运出去

这是内部威胁与外部攻击的交汇点，也是泄露事件的高发区。外传通道可以穷举出来：U 盘、邮件附件、即时通讯文件传输、网页网盘上传、截屏拍照、打印带出、甚至粘贴到大模型对话里。

防守技术的要点是逐通道封堵 + 全通道留痕：

U 盘与移动介质：过滤驱动分级管控（禁用/只读/授权读写），审批流管例外；

截屏：封堵系统截图 API、截图工具与录屏通道——技术上要注意覆盖 Win+Shift+S、第三方工具、远程桌面截屏等多个路径，只 Hook 一个 PrintScreen 等于没做；

打印：打印驱动水印叠加审计日志，纸质资料带出后可回溯到"哪台终端、哪个账号、什么时间、打的什么文件"；

屏幕水印：对手机拍照这个物理通道，技术无法阻断，只能靠包含姓名、工号、终端、时间的动态水印形成威慑与溯源能力——拍下来也能找到人；

网络行为审计：对网盘、个人邮箱、IM 文件传输的识别与管控，以及对公有大模型应用的访问识别——把"把患者信息粘贴进 AI 对话框"这类新通道纳入监控面，是当前审计模块必须补齐的能力。

一个平台化实现的额外优势在这里体现：六个通道的审计事件统一进一个数据底座，检索时以"人"或"文件"为线索横向关联，而不是在六个独立后台里拼图。

失效条件同样诚实地说：阻断型管控拦不住"人工抄写 + 手机拍屏幕"，水印威慑管不住"不在乎被追责的人"。所以完整策略永远是 威慑（水印）+ 阻断（外设/截屏）+ 追溯（审计） 三层叠加，缺一不可。

6. 第五环：加密破坏——勒索的临门一脚

数据拷得差不多，或者根本不想费劲，直接上勒索：批量加密文件，挂出勒索信。

现代勒索的加密行为有明显的行为特征——短时间内对海量文件做"读取 → 写入高熵密文 → 重命名"的原子操作。防守侧的行为检测型防勒索不靠特征库，而是盯着这个行为模式：监控进程的批量文件操作速率与写入数据的熵值，配合蜜罐文件试探（专设诱饵文档，谁碰谁可疑），在加密规模化之前终止进程。

两道配套机制决定恢复能力：

文档自动备份：对核心目录做实时备份快照，误杀可回滚、中招可恢复，避免"为了防勒索把业务文件锁死"的副作用；

驱动级数据通道隔离：检测到勒索行为后，第一时间断掉该进程的文件写入能力，缩小加密半径。

失效条件：加密行为被拆碎执行（低频慢速、逐目录进行）会拉长检测时间窗——所以行为阈值要结合本地环境调优，不能开箱即用后不管。

7. 攻击之后：审计还原是最后一道也是下一道防线

所有防线都可能被击穿，此时决定损失规模的是溯源速度与恢复能力。完整的行为审计（文件操作、外设、打印、登录、进程）按"终端 + 用户 + 事件类型 + 时间"四维索引，价值体现在三个时刻：

定损：确认哪些文件被读、被拷、被外传，评估泄露面；

定性：外部入侵还是内部操作——双标签审计（设备 + 账号）让"谁干的"不再依赖口供；

改防：把攻击路径上被绕过的那道防线，变成新的基线规则。

这也是一体化平台相对工具堆叠最不易被替代的地方：攻击链横跨初始访问、执行、外传多个环节，只有共享同一数据底座的审计，才能以一条时间线还原完整链路。

8. 结语

把视角从"防守方有什么功能"切换成"攻击者走哪条路"，结论会变得清晰：终端安全没有银弹，只有一道道有明确失效条件的防线。务实的建设顺序是——先封物理摆渡与未知执行（入口），再保 Agent 自身与配置基线（立足点），然后管数据静态加密（收集），逐通道管控外传（运输），最后靠行为检测兜住勒索（破坏），全程用统一审计兜底定损与追溯。迪康端点安全一体化系统这类平台的设计逻辑，正是把这些分布在攻击链各处的点状能力，收拢到一套 Agent、一个数据底座之上——因为攻击链是一体的，防线也不该是碎的。