大多数安全漏洞都始于一台普通设备：一台打开了钓鱼邮件的笔记本电脑、一个重复使用密码的账户，或是一台接入办公室 Wi-Fi 的未知设备。真正让这个最初的立足点演变成严重安全事件的，是攻击者接下来还能接触到什么。这下一步就叫作横向移动。
对许多组织来说，攻击者能够触及的范围很广。Zero Networks 的 2026 年横向移动暴露报告基于 312 个企业环境中的活动发现，80% 的企业服务器在网络内部的任何位置都可被访问。IT 团队每天使用的远程访问协议（如 RDP 和 SSH），对于持有被盗凭据的攻击者同样有效。
本指南将说明什么是横向移动攻击、攻击者如何从一个系统转移到下一个系统、他们最常依赖的技术，以及真实攻击是如何发生的。本指南还介绍了如何检测横向移动，以及在攻击者已经进入内部后，限制其进一步扩散的控制措施。
什么是横向移动攻击？
横向移动攻击是指攻击者在获得初始访问权限后，用于从首个被入侵设备转移到网络中的其他系统、账户和其他部分的一系列技术。攻击者通常依赖被盗凭据和合法的管理工具，逐步接近域控制器、文件服务器和敏感数据等高价值目标。
MITRE ATT&CK 是被广泛使用的攻击者行为知识库， 其中将横向移动归类为战术 TA0008，并在其下归纳了九种技术。其中大多数会滥用网络中已经运行的协议，包括 RDP、SMB、SSH 和 WinRM。由于 IT 团队每天都在使用相同的协议，横向移动通常看起来像常规的管理活动。
横向移动常常与权限提升混淆，而攻击者通常会将两者结合使用。横向移动是指到达新的系统。权限提升是指在攻击者已控制的系统上获取更高的权限。一种典型的攻击会在两者之间交替进行：攻击者先在一台主机上提升权限以收集权限更高的凭据，然后再利用这些凭据到达下一台主机。
为什么攻击者依赖横向移动
攻击者最先入侵的设备，很少是他们真正想要的目标。横向移动让他们能够从这个起点渗透到其他所有目标：
触及高价值系统。市场部一台被网络钓鱼攻陷的笔记本电脑之所以重要，是因为它可以连接到域控制器、文件服务器、财务应用程序和备份系统等资源。
收集更强的凭据。每个新增主机都可能保存其他用户（包括管理员和服务账户）的缓存密码、哈希值或票据。
建立持久化立足点。在多台机器上建立立足点后，即使 IT 清理了首台受感染设备，攻击者仍能留在该环境中。
为更大的收益做铺垫。勒索软件攻击者会在加密任何内容之前，尽可能扩散到更多系统，而数据窃取行动则会在数周或数月内悄悄收集信息。
融入其中。分散在常规管理协议和有效账户中的活动，比起会暴露自身的恶意软件，触发的警报更少。
攻击者在首次入侵后能进一步横向移动多远，基本决定了这起事件会变得多严重。
横向移动攻击的运作方式
横向移动遵循一个可识别的周期。攻击者每到达一个新系统，都会重复中间阶段，直到到达他们想去的地方。
阶段 1：初始访问
攻击始于建立立足点。常见的入口点包括钓鱼邮件、被盗或重复使用的密码、暴露的远程访问服务，或连接到网络的未授权设备。
此时，攻击者通常只控制着一个价值较低且权限有限的系统。
第 2 阶段：内部侦察
接下来，攻击者会从内部对环境进行摸排。他们会寻找可从被攻陷设备访问到的其他主机、文件共享、用户和管理员账户，以及开放端口。
攻击者经常会利用操作系统中已内置的工具来这样做，这会让安全工具更难标记出新的文件或进程。
第 3 阶段：凭证访问
要进一步移动，攻击者需要凭证。他们会从被攻陷系统的内存中收集凭证，获取已保存或缓存的密码，或捕获用户输入的凭证。
共享和重复使用的密码会让这一阶段变得容易得多，因为一个被盗的凭证就能解锁许多系统。
第 4 阶段：移动到下一个系统
拿到凭据后，攻击者会通过另一台主机进行身份验证，通常是通过标准管理员协议。如果凭据行不通，他们可能会转而利用目标上尚未修补的服务。
从网络的角度来看，这一步看起来可能像一次普通登录。
第 5 阶段：达成目标
一旦攻击者到达有价值的系统，就会实施其目标。这可能意味着复制敏感数据、一次性在多台主机上部署勒索软件，或者悄悄维持访问权限以备后用。
攻击者经常会在过程中清除日志或移除工具，以增加调查难度。
第 2 到第 4 阶段会在每个新主机上重复发生，这也是为什么一个被入侵的账户会演变为对整个环境的访问权限。
常见的横向移动技术
MITRE ATT&CK 用于跟踪攻击者在系统之间移动时所使用的具体方法。其中有少数几种会出现在大多数现实中的入侵事件中，而每一种都会受到不同控制措施的限制。
远程服务（T1021）
借助远程服务，攻击者会使用窃取的凭据，通过 RDP、SMB 和 Windows 管理共享、SSH 或 WinRM 等常规管理协议登录到另一台主机。像 PsExec 和 PowerShell 远程处理这样的工具会让这一过程变得很快，而且这些流量看起来就像日常 IT 工作。
这个机会很大。Zero Networks 发现，87% 的企业服务器接受来自广泛内部来源的入站 RDP 或 SSH，并且78% 可通过 SMB 或 WinRM 访问。
哈希传递和票证传递（T1550）
这些技术让攻击者能够使用窃取的身份验证材料进行身份验证，而无需使用密码。Pass the hash 会重复使用 NTLM 密码哈希，而 pass the ticket 会重复使用 Kerberos 票证。Mimikatz 等工具会直接从被攻陷机器的内存中提取这些材料。
传统身份验证让这类攻击依然可行。Zero Networks 报告称，内部身份验证中仍有 43.2% 运行在 NTLM 上。
利用远程服务（T1210）
在没有有效凭证的情况下，攻击者可以利用另一台内部主机上运行 的服务漏洞。内部系统的补丁更新速度通常比面向互联网的系统更慢，这会使已知漏洞暴露更长时间。
远程服务会话劫持（T1563）
在会话劫持中，攻击者会接管合法用户已经打开的现有 SSH 或 RDP 会话。由于该会话已经通过身份验证，攻击者无需获得该用户的凭据即可继承其访问权限。
横向工具传输（T1570）
一旦攻击者能够到达新的主机，他们就会复制所需工具过去，例如恶意软件、脚本或管理工具。这通常通过 SMB 进行，也就是用于文件共享的同一通道。
内部鱼叉式网络钓鱼（T1534）
控制了合法邮箱的攻击者可以从组织内部对同事发起网络钓鱼。来自真实同事账户的消息比外部电子邮件更有说服力，因此这是收集更多凭据的有效方式。
下表总结了每种技术的工作方式，以及哪些控制措施会限制它。
技术（MITRE ID） | 攻击者如何利用它 | 什么能限制它 |
远程服务（T1021） | 通过 RDP、SMB、SSH 或 WinRM，使用窃取的凭据登录其他主机 | 网络分段、基于最小特权原则的网络访问、管理员访问采用 MFA、将管理协议限制在管理主机上 |
哈希传递和票证传递（T1550） | 在不知道密码的情况下重复使用被盗的 NTLM 哈希或 Kerberos 票证 | 保护内存中的凭据，减少 NTLM 的使用，限制特权账户可登录的位置，端点检测 |
利用远程服务（T1210） | 利用另一台主机上未修补的服务漏洞 | 打补丁，再加上网络分段以确保用户设备无法访问存在漏洞的服务 |
远程服务会话劫持（T1563） | 接管现有 SSH 或 RDP 会话 | 会话超时、SSH 密钥管理、特权会话监控 |
横向工具传输（T1570） | 将恶意软件或工具复制到下一台主机，通常通过 SMB 进行 | 端点检测，阻止工作站到工作站的 SMB |
内部鱼叉式网络钓鱼（T1534） | 利用已被入侵的内部邮箱对同事发起网络钓鱼 | 电子邮件安全、用户安全意识、防网络钓鱼的 MFA |
还有一条路径值得关注，因为它完全跳过了网络钓鱼这一步。如果网络允许任何知道共享 Wi-Fi 密码的设备接入，或允许任何插入开放有线端口的设备接入，那么攻击者只要拥有该密码或具备物理访问条件，就能直接从内部网络发起攻击，而根本无需入侵任何账户。控制哪些设备可以加入网络，以及它们接入后进入哪个网络区域，就能堵住这条路径。
横向移动攻击示例
上述技术在有充分记录的事件中反复出现。这三个示例展示了横向移动如何将单一入口点演变成更大范围的入侵。
NotPetya（2017）
正如CISA 关于该恶意软件的警报和Mandiant 的分析所述，NotPetya 通过使用修改版 Mimikatz 从内存中窃取凭证在网络内部传播，然后利用 PsExec 和 WMI 在其他机器上运行自身。它还利用 EternalBlue SMB 漏洞攻击未打补丁的主机。
由于基于凭证的方法依赖有效登录，NotPetya 也能够感染那些已针对 EternalBlue 完全打好补丁的机器。共享和重复使用的管理员凭证使其能够在已连接的网络中快速传播。
SolarWinds 供应链攻击事件（2020）
根据CISA advisory AA20-352A，在 SolarWinds 攻击活动中，攻击者通过对 SolarWinds Orion 软件进行木马化的更新进入系统。一旦进入内部，CISA reported 他们使用 WMI 和远程计划任务进行横向移动。
攻击者还在 Active Directory 中提升了权限，并伪造了身份验证令牌，这使他们能够从本地网络转移到 Microsoft 365 等云环境中。
Akira 勒索软件（2023 年至今）
CISA 公告 AA24-109A介绍了 Akira 关联组织如何通过未启用 MFA 的 VPN 获取初始访问权限，随后使用 Mimikatz 和 LaZagne 等工具窃取凭据。在横向移动之前，他们通常会先禁用安全软件以避免被检测到。
该公告还指出，Akira 攻击者会使用合法的远程访问工具来维持驻留并进行伪装，这种模式在现代勒索软件团伙中很常见。
在每一种情况下，造成的损害规模都取决于攻击者能够移动多远，以及他们能够重复利用多少凭证。
如何检测横向移动
横向移动很难被发现，因为它使用的是有效账户和常规管理工具，但它仍会留下有别于日常活动的可疑模式。常见迹象包括：
一个账户在短时间内对多台主机进行身份验证。普通用户通常只会登录一小组可预测的系统。
工作站之间的管理员协议流量。两台员工笔记本电脑之间的 RDP、SMB 或 WinRM 连接很少有正当理由。
在非预期机器上运行的管理工具。如果 PsExec、PowerShell 远程处理或远程 WMI 命令是从非管理员终端发起的，就值得进一步排查。
不符合用户正常模式的登录。留意异常时段、不熟悉的设备，或访问超出用户角色范围的系统。
身份验证失败激增。服务器、Wi‑Fi 或 VPN 上反复出现失败，可能表明存在密码猜测或凭据测试行为。
网络中的新设备或未知设备。在敏感网段中，任何无人识别的设备都值得立即调查。
这些信号来自多个来源，因此要实现可见性，取决于能否将它们整合起来。端点检测与响应（EDR）工具可显示每台主机上的进程和凭证活动。Windows 身份验证日志可显示谁在何处登录。网络监控可显示哪些系统正在相互通信。网络身份验证日志（如 RADIUS 记录）可显示哪些用户和设备接入了 Wi‑Fi、VPN 或有线网络，以及接入时间。
如何防止横向移动
没有任何单一控制措施能阻止所有横向移动技术。最有效的方法是结合两个目标：限制攻击者从任意一台设备出发所能接触到的范围，并限制其可窃取和重复使用的凭证。
1. 按角色和信任级别对网络进行分段
网络分段会将网络划分为不同区域，使用户、访客、IoT 设备和服务器分别位于独立分段中，并在它们之间设置受控路由。访客或 BYOD 分段上的受感染设备不应有任何路径通向财务系统或域控制器。
当分段的位置与身份绑定，而不是靠手动维护时，其效果最佳。我们的网络分段指南介绍了如何规划并实施它。
2. 每台设备加入网络之前都要先进行验证
在 Wi-Fi 和有线网络上使用 802.1X，让每个用户或设备在获得访问权限之前都先证明自己的身份。每用户或每设备凭据可替代共享密码，因为任何靠近现场的人，或拿到泄露密码的人，都可能使用共享密码。
这堵住了这样一条路径：攻击者只需将设备连接到网络，然后就从那里开始横向移动。
3. 尽可能用证书替换可重复使用的密码
基于证书的网络身份验证（例如 EAP-TLS）将访问权限绑定到安装在受管设备上的证书。攻击者无法通过网络密码进行网络钓鱼、猜测，或窃取后在另一台系统上重放，因为根本不存在这样的网络密码。
4. 对账户强制实施最小特权原则
为管理员提供单独的账户用于管理工作，并限制特权账户可在何处登录。为管理员访问添加 MFA，这样仅凭被盗密码无法访问高价值系统。
日常工作站中缓存的特权凭据越少，攻击者在凭据访问阶段可收集的内容就越少。
5. 限制管理协议
仅允许有需要的主机使用 RDP、SMB、WinRM 和 SSH，例如指定的管理员工作站。阻止工作站之间通过这些协议通信，从而消除许多用于远程服务和横向工具传输的路径。
6. 持续为内部服务打补丁
内部系统也应获得与面向互联网的系统同等的补丁关注。结合网络分段，及时打补丁可让易受攻击的服务无法被触及，并限制对远程服务的利用。
7. 监控身份验证并快速响应
将来自端点、服务器和网络身份验证的日志集中起来，让可疑模式能够在一个地方被发现。再结合 EDR 和经过测试的响应计划，以便在攻击者进一步横向移动之前，隔离被入侵的账户或设备。
Foxpass 如何在网 络边缘限制横向移动
来自 Splashtop 的 Foxpass 提供云托管的 RADIUS、PKI 和 LDAP 服务，用于控制哪些人和哪些设备可以连接到您的网络。它可帮助 IT 团队对每个 Wi‑Fi、VPN 和有线连接进行身份检查，从而限制攻击者利用已被入侵设备进一步渗透的范围。
1. 基于身份的网络访问与分段
Foxpass Cloud RADIUS 会在每个用户或设备加入网络之前对其进行身份验证，然后根据其在 Google Workspace、Okta、Microsoft Entra ID、OneLogin 或 LDAP 中的目录组成员身份，将其分配到相应的 VLAN。访客设备或 BYOD 设备会进入受限网段，而财务和工程设备则会分别进入各自的网段。
如果其中一台设备被入侵，攻击者起步时所在的网段通往网络其余部分的路径将受到限制。详细了解借助 Foxpass 实现动态的、基于身份的网络分段。
2. 基于证书的无密码身份验证
Foxpass Cloud PKI 通过MDM 集成和 SCEP向设备签发证书，因此受管设备可以使用 EAP-TLS 进行连接。使用基于证书的身份验证后，就不存在可被窃取并重复使用的共享 Wi-Fi 密码。
对于尚未准备好将每台设备都迁移到证书的团队，Foxpass 还支持使用个人用户凭据的 EAP-TTLS，仍可用按用户分配的访问权限替代单一共享密码。
3. 随目录同步的访问权限
由于网络访问与目录组成员身份绑定，因此身份提供商中的变更也会同步到网络中。当有人离开组织或角色发生变化时，其网络访问权限和网段分配也会随之调整，从而关闭攻击者经常瞄准的陈旧凭证所对应的访问。
Foxpass 还会按 VLAN 和策略记录访问尝试。这些记录会显示哪些用户和设备 进行了连接、连接时间以及连接到了哪个网段，从而支持前文所述的检测工作。
Foxpass 控制谁可以接入网络，以及接入后进入何处。它不会检查已处于同一网段内的设备之间的流量，因此最好与 EDR、最小特权原则账户控制以及上述其他做法配合使用。
在攻击者发现之前，先缩小爆炸半径
横向移动会让一台被入侵的设备演变成波及整个组织的安全事件，而攻击者的触达范围决定了这一事件会扩散多远。限制哪些设备可以加入网络、各自接入后处于什么位置，以及哪些凭证可以被重复使用，都会让攻击者可去的地方大幅减少。
Foxpass 可帮助 IT 团队在每次网络连接中加入身份和证书检查，而无需在内部运行 RADIUS 或 PKI 服务器。立即开始免费试用，了解 Foxpass 如何适配您的网络。
