网络感知

引言：终端状态治理作为安全运维的隐性基础设施 企业终端安全的显性防护中，EDR负责进程行为监控，DLP审计数据流转，防火墙管控网络边界。但还有一类容易被忽略的隐性基础设施——终端状态自动化治理。包含网络离线后的会话维持、长时间运行下系统资源健康度、文件交互界面攻击面收敛等问题。 终端断网之后会话依旧保持解锁，会成为内网横向移动的跳板；系统长期不重启累积大量垃圾文件，耗尽磁盘空间同时掩盖取证线索；泛滥的第三方Shell右键扩展，会成为DLL劫持、权限提升的攻击载体。这些问题不直接针对APT检测响应，却是终端安全基线不可或缺的一环。 本文从Windows网络感知机制、会话管理子系统、系统生命周期编排、存储清理管线、Shell扩展架构五大维度，拆解终端状态自动化治理工程实现。以互成软件终端安全体系为例，讲解网络感知锁屏、生命周期自动化、系统垃圾清理、右键菜单语义管控的技术实践。 一、网络感知与会话边界：离线锁定与上线解锁的动态维护 1.1 网络可达性多维度检测模型 离线超时锁屏的核心，是精准区分终端在线/离线状态。Windows原生各个网络检测接口都存在局限性： NCSI网络连接状态指示器：通过DNS与HTTP访问微软公网探测互联网连通性。仅能判断互联网是否连通，无法识别内网、VPN、域控制器失联场景，终端断开内网VPN依然会被判定为在线。 WMI网卡事件：读取Win32_NetworkAdapter，监听网卡变更、IP、网关事件，仅反映网卡硬件层面状态，无法校验业务服务可用性。 WTS远程会话网络状态：针对RDP远程桌面会话，读取客户端通道信息，仅适用于远程访问场景。 互成Agent构建多维度网络融合检测模型，综合多类信号做状态判定： NCSI互联网连通状态 默认网关ICMP连通性 DNS SRV解析获取域控制器 389/445端口TCP可达性 管理平台/NAC网关应用层心跳长连接 采用轮询状态机机制，默认30秒检测一次；连续N次检测失败才判定离线，规避网络抖动造成的误锁屏。 1.2 离线锁定构建会话安全边界 网络状态机切换至离线状态时，调用LockWorkStation，切换到Winlogon托管的安全桌面。 会话强隔离：普通应用无法访问安全桌面，物理接触设备必须重新身份校验。 纯本地执行：锁屏属于本地系统调用，完全不依赖网络，断网环境依旧生效。 弥补域策略短板：组策略空闲锁屏依赖域控，离线状态失效；Agent本地策略填补该防护盲区。 1.3 上线自动解锁的安全权衡 网络恢复自动解锁提升用户体验，但引入安全风险：恶意伪造WiFi、ARP欺骗可伪造网络环境触发解锁；网络抖动会造成反复锁屏解锁振荡。 Agent实现多因子恢复确认机制，多重条件全部满足才允许自动解锁： 网络稳定性校验：连续M次检测全部在线，默认5次检测周期，过滤瞬时网络恢复。 环境真实性校验：校验缓存域控证书、管理服务令牌，识别伪造网络环境。 用户在场检测（可选）：即便网络恢复，没有键鼠输入事件，保持锁定，等待用户手动解锁。 时间窗口管控：自动解锁仅工作时段启用；非工作时间网络恢复不触发解锁，保障夜间无人值守安全。 二、开机时长监控与终端生命周期自动化 2.1 系统运行时间精准度量 “开机超过指定时间提醒/关机重启”策略，需要精准统计系统活跃运行时长。Windows可用接口： GetTickCount64 获取启动后毫秒数，不存在旧API溢出回绕问题。 NtQuerySystemInformation 获取内核原始启动时间戳。 WMI Win32_OperatingSystem.LastBootUpTime 查询上次启动时刻。 Agent在原始接口之上叠加电源事件处理： 通过PowerRegisterSuspendResumeNotification捕获睡眠、休眠事件，计算实际活跃运行时长时扣除S3/S4挂起时间。笔记本频繁睡眠场景下，区分“墙上时钟总时长”和“用户实际工作时长”。 同时区分本地控制台会话、远程桌面会话，支持两套独立生命周期策略。 2.2 生命周期动作编排 当实际运行时长到达阈值，支持多种执行动作： 关机Shutdown：ExitWindowsEx优雅关机，对阻止关机程序设置超时，超时后强制终止。 重启Restart：执行系统重启，解决长期运行带来内存泄漏、句柄耗尽等系统退化。 通知提醒：托盘Toast弹窗提示用户，仅建议不强制，用于柔性管控场景。 2.3 Windows Server差异化豁免 服务器7×24小时不间断运行，强制关机重启会造成业务中断。Agent内置服务器感知： 通过RtlGetVersion、GetProductInfo识别服务器SKU版本。 WMI探测AD域服务、DNS、DHCP、SQL Server等关键业务角色。 检测核心业务角色运行时，自动跳过强制动作，降级为告警提醒。 支持配置生效时间窗口，仅非业务维护时段执行策略。 三、系统垃圾自动化清理：存储治理与取证痕迹管理 3.1 垃圾文件分类 系统运行产生各类垃圾，不同目录文件风险、用途各不相同，需要差异化处理： 临时文件：用户%TEMP%、系统%SystemRoot%\Temp以及应用私有临时目录，安装、浏览器产生，容易占用大量磁盘。 Windows事件日志evtx：存放系统、安全、应用审计日志，默认配置会持续膨胀。 WER Windows错误报告：崩溃dump转储文件，内存快照，文件体积大，内部含有敏感内存片段。 RDP远程桌面位图缓存：.bmc缓存远程桌面画面，留存会话界面残片，存在信息泄露风险。 3.2 清理引擎三段式实现 清理引擎遵循分类扫描‑安全判定‑原子删除流程。 ...