资源感知

引言：从静态资产清单到动态态势感知 企业安全治理发展过程里，终端长期被当作相对静态的计算节点。IT资产管理依靠周期性盘点、手工录入，生成终端硬件、软件、网络属性快照，以此作为安全策略的制定依据。但这种快照式资产管理，在现代动态办公环境下存在显著缺陷：终端网络身份、系统资源、运行状态时刻都在改变，传统周期性审计无法捕获变化发生的精确时间与完整上下文。 终端IP会因DHCP续租、网络切换、恶意篡改发生变动；主机名可被攻击者篡改伪装成合法设备；本地账号新增、删除、权限提升往往代表权限维持或内部威胁；系统分区磁盘占满会造成日志丢失、服务异常；CPU、内存、磁盘IO、网络流量突增，极有可能是挖矿程序、勒索加密、大批量数据外泄的特征。 上述现象不是孤立事件，属于终端安全的“生命体征”。深夜内网IP跳转至公共热点、数小时内系统盘可用空间急剧收缩、未知进程长期占用高CPU，这类多信号在时间轴上聚合，比单一告警更具备威胁判定价值。 本文基于内核‑用户态协同技术视角，讲解终端身份基线漂移检测、磁盘存储空间监控、系统资源负载告警的实现方案，结合互成软件终端态势感知框架，介绍企业落地工程价值。 一、终端身份基线监控：IP、主机名与账户信息的变更检测 1.1 网络身份属性的技术语义 终端网络身份由IP地址、计算机名、本地账户三重属性共同构成，任意非授权改动都会破坏安全策略绑定，造成终端脱离管控或者被恶意利用。 IP变更需要区分合法切换与违规漂移：有线/无线切换、会议室网络、VPN远程接入属于正常IP变动；使用USB无线网卡私自连接外网、ARP欺骗篡改IP配置属于安全事件。 域环境下计算机名具备高安全权重，计算机名参与AD机器账户、SMB会话、WSUS、SCCM管理。攻击者篡改主机名，可诱导其他终端误将本机识别为域控制器，触发异常域认证协商。 本地账号操作包含账号新建、删除、密码重置、权限提升、启用禁用，是提权、持久化驻留的典型手段。攻击者拿到初始权限后，经常创建隐藏账号、修改账号权限实现长期控制。 1.2 变更检测的多层技术实现 互成软件身份基线监控引擎多维度捕获身份变动： WMI事件订阅：通过ManagementEventWatcher监听__InstanceModificationEvent，捕获网卡IP、计算机名、本地账号的增删改事件，依靠系统原生通知，变更发生瞬间即可回调，无需高频轮询。 注册表监控：Minifilter驱动监控关键注册表写操作： HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{GUID}\IPAddress 静态IP配置 HKLM\SYSTEM\CurrentControlSet\Control\ComputerName\ComputerName 计算机名 HKLM\SAM\SAM\Domains\Account\Users 本地账号SAM数据库（需要SYSTEM权限） HKLM\SECURITY\Policy\Secrets LSA机密存储 NetBIOS、DDNS动态更新拦截：主机名修改后系统会向外广播名称，Agent拦截NetBIOS名称注册报文、DNS UPDATE请求，在新主机名扩散到网络前捕获事件。 域终端账号同步校验：域内终端定时调用NetUserGetInfo、NetLocalGroupGetMembers读取本地账号与组成员，和基线快照做差异比对。 1.3 基线快照与差异算法 身份基线并非简单记录数值，生成包含时间戳、上下文、置信度的结构化快照。 检测变更时，差异算法不只是输出旧值→新值，同时解析行为上下文：IP变动来自DHCP分配还是手动修改；主机名改由界面操作还是直接修改注册表；账号创建来自net user命令行还是控制面板图形操作，以此区分正常运维行为和攻击行为。 二、存储空间阈值监控：从系统分区到全盘的精细化策略 2.1 磁盘空间耗尽的安全与业务影响 磁盘爆满常常被简单归为运维问题，实际会带来多重安全风险：审计日志无法写入导致溯源失效；系统更新失败暴露漏洞；页面文件无法扩容造成业务进程崩溃；勒索软件也会刻意占满磁盘，阻止系统生成还原点、无法执行解密恢复。磁盘监控既是容量运维工具，也是终端安全可用性保障。 2.2 分区类型识别与差异化策略 Windows包含系统分区、恢复分区、ESP引导分区、业务数据分区，不同分区监控策略不一样： 系统分区C盘：直接影响系统与安全组件。调用GetVolumeInformation识别文件系统，GetDiskFreeSpaceEx读取总容量、剩余空间、使用率，剩余空间低于阈值触发告警。 数据分区D/E盘：存放业务文档图纸，侧重防止业务中断，告警阈值设置相对宽松。 恢复分区、ESP分区：容量小，默认不触发普通空间告警，重点监控分区是否被意外删除、完整性遭到破坏。 2.3 阈值引擎与动态告警 存储监控同时支持静态阈值与动态基线： 静态阈值：管理员配置固定剩余容量（例如系统盘低于5GB告警）或者使用率阈值（使用率超过90%告警）。 动态基线：学习终端历史磁盘消耗速率。即使没有触达静态阈值，如果短时间磁盘消耗速度远超日常基线，判定异常消耗触发告警。 告警分为三级： 提示级：空间临近阈值，托盘通知提醒用户清理磁盘，不上报告警。 警告级：空间严重不足，威胁日志、系统更新，事件上报管理平台并留存审计。 紧急级：磁盘近乎占满，可执行自动清理临时文件、压缩旧日志，同时通知运维人员介入。 三、系统资源阈值监控：CPU、内存、磁盘IO与网络流量的多维采集 3.1 性能计数器的采集架构 系统资源采集依托Windows性能计数器体系，采用多途径采集指标： PDH性能数据助手API：使用PdhOpenQuery、PdhAddCounter、PdhCollectQueryData获取核心指标 资源维度 关键计数器 技术含义 CPU \Processor(_Total)\% Processor Time 整体CPU平均利用率 CPU \Process(*)\% Processor Time 单进程CPU占用，定位高负载进程 内存 \Memory\Available MBytes 可用物理内存(MB) 内存 \Memory\Pages/sec 每秒内存换页，衡量内存压力 磁盘IO \PhysicalDisk(_Total)\Disk Read Bytes/sec 磁盘读取吞吐量 磁盘IO \PhysicalDisk(_Total)\Disk Write Bytes/sec 磁盘写入吞吐量 磁盘IO \PhysicalDisk(_Total)\% Disk Time 磁盘繁忙占比 网络 \Network Interface(*)\Bytes Total/sec 网卡总吞吐 网络 \Network Interface(*)\Packets/sec 每秒数据包数量 ETW Windows事件追踪：高精度低开销场景订阅内核Disk、Network事件源，直接在内核采集IO、网络行为，关联对应进程，减少用户态内核态拷贝开销。 WMI性能类：Win32_PerfFormattedData_*系列作为PDH补充校验。 3.2 阈值计算与告警去噪 直接对比原始性能数据容易产生大量误报，引擎引入降噪策略： ...