1. 赛题背景与核心价值为什么AB模块是国赛的“试金石”如果你关注过近几年的中职组网络安全国赛一定会发现一个现象无论赛题如何变化AB模块始终是那个最稳定、也最考验选手基本功的“压舱石”。2022年的第三套赛题也不例外。AB模块通常指的是“基础设施设置与安全加固”以及“网络安全事件响应与取证”两大核心部分。它们不像渗透测试那样充满戏剧性的“攻防对抗”也不像应用安全那样需要天马行空的漏洞挖掘思路。AB模块考察的是网络安全从业者最底层的、也是最容易被忽视的“内功”——系统性的安全配置能力和规范化的应急响应流程。为什么说它是“试金石”因为在实际的企业安全运维中超过70%的安全事件并非源于高深莫测的0day漏洞而是由于基础配置错误、弱口令、权限管理混乱、日志审计缺失等“低级失误”造成的。国赛通过AB模块正是要检验选手是否具备将安全理念转化为具体、可执行、无歧义的操作指令的能力。这就像一名外科医生可以谈论最前沿的医疗理论但最终还是要看其缝合、打结的基本功是否扎实。2022年的这套赛题在延续经典考察框架的基础上融入了一些当年热点的技术场景和安全理念对选手的知识广度与操作精度提出了双重挑战。理解这套赛题的价值不能仅仅停留在“做题”层面。它实际上是一份非常标准的、缩小版的企业初级安全建设与应急响应检查清单。通过拆解其中的每一个任务点我们不仅能复盘比赛更能梳理出一套适用于中小型网络环境的基础安全加固与事件处置方法论。这对于即将步入职场的中职学生或是希望夯实基础的入门级安全运维人员来说其参考价值远超题目本身。2. 模块A深度拆解从拓扑理解到“零信任”实践模块A通常以一个具体的网络拓扑图开场。2022年第三套的拓扑很可能包含核心交换机、防火墙、Web服务器、数据库服务器、文件服务器及若干办公终端构成了一个典型的园区网或中小企业网络模型。选手的任务就是让这个“裸奔”的网络穿上合规的“铠甲”。2.1 拓扑分析与IP规划一切安全策略的起点拿到拓扑后第一步不是急着敲命令而是像建筑师看蓝图一样彻底理解网络结构。你需要明确几个关键问题各个网段如管理网段、服务器网段、用户网段是如何划分的关键业务流如用户访问Web、Web访问数据库的路径是怎样的安全设备的部署位置防火墙是路由模式还是透明模式决定了其防护边界。基于此IP地址规划必须清晰且文档化。比赛中经常要求选手根据给定的地址池为每台设备分配合法的IP地址、子网掩码、网关和DNS。这里一个常见的坑是子网划分计算错误或网关地址配置冲突。例如题目给出192.168.10.0/24的地址池要求划分出至少3个容纳50台主机的子网。很多选手会直接使用/26掩码每个子网62个可用地址这虽然满足数量要求但可能忽略了题目隐含的“为未来扩容预留地址”的意图。更稳妥的做法是使用/25划分出两个子网再对其中一个进行二次划分体现出规划的前瞻性。配置时务必在设备的网卡配置文件如Linux的/etc/network/interfaces或/etc/sysconfig/network-scripts/ifcfg-ethXWindows的网络适配器属性中反复确认并立即用ping和ipconfig/ifconfig命令进行验证。2.2 防火墙策略配置由简入繁的“交通管制”防火墙是模块A的重头戏。策略配置的思路必须遵循“最小权限原则”和“默认拒绝原则”。我个人的配置习惯是“四步法”清空并设置默认策略首先将INPUT、FORWARD链的默认策略设置为DROPOUTPUT设置为ACCEPT。这是一切安全的基础。放行必要管理流量允许来自特定管理IP通常是裁判机或管理员主机对防火墙本身的SSH、HTTPS等管理访问。配置业务访问规则根据拓扑中的业务流精确放行。例如只允许办公网段如192.168.20.0/24访问Web服务器的80/443端口只允许Web服务器的IP访问数据库服务器的3306端口。这里要特别注意规则的方向和接口。对于状态检测防火墙通常只需要配置请求方向的规则回应流量会被自动允许。但比赛中为了考察理解深度可能会要求显式配置双向规则或者涉及NAT场景。添加基础安全规则禁止私有地址从公网口进入禁止外网ping内网禁ICMP限制碎片包等。这些是提升安全基线的“标准动作”。以常见的iptables命令为例一条优秀的规则应该包含注释-m comment --comment “XXX”方便日后审计。比赛中配置完成后必须保存规则iptables-save /etc/sysconfig/iptables或使用netfilter-persistent工具否则重启后配置将丢失这是致命的失分点。2.3 系统安全加固从账户到日志的全面设防系统加固是繁琐但至关重要的部分。赛题会涵盖Windows Server和Linux服务器。Linux服务器加固要点账户与口令删除或锁定无用账户userdel,passwd -l设置密码复杂度策略编辑/etc/pam.d/system-auth或/etc/security/pwquality.conf设置连续登录失败锁定pam_tally2或faillock。权限管理检查SUID/SGID特殊权限文件find / -perm /6000移除非必要的配置sudo权限遵循最小特权原则。服务最小化使用systemctl list-unit-files --typeservice查看所有服务关闭telnet、rpcbind等高风险且无用的服务。SSH加固修改/etc/ssh/sshd_config禁止root直接登录PermitRootLogin no修改默认端口仅允许密钥认证或强密码认证限制监听IP。日志审计确保rsyslog或systemd-journald正常运行配置关键日志如认证日志/var/log/secure审计日志/var/log/audit/audit.log的轮转与保存时间。Windows Server加固要点本地安全策略这是核心配置界面。需配置“账户策略”下的密码复杂度、长度、最长使用期限和账户锁定阈值在“本地策略”中审核关键事件登录事件、账户管理、策略更改等并配置“用户权限分配”例如禁止“从网络访问此计算机”中包含不必要的用户组。服务与端口在“服务”管理控制台禁用Telnet、Remote Registry等危险服务使用netstat -ano结合任务管理器关闭非必要端口。补丁与更新虽然比赛环境通常离线但需体现检查更新和描述更新管理流程的意识。一个关键的实战经验是所有加固操作必须在配置前备份原文件或记录原状态。尤其是在比赛紧张环境下误操作可能导致服务不可用。对于Linux可以cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak对于Windows在修改注册表或组策略前先导出一份备份。2.4 应用服务安全Web与数据库的纵深防御Web服务器常为Apache或Nginx和数据库常为MySQL的安全配置是直接面向业务的防线。Web服务器安全版本隐藏修改Apache的httpd.conf中的ServerTokens Prod和ServerSignature Off或Nginx的nginx.conf中的server_tokens off;减少信息泄露。目录权限限制Web根目录的权限确保运行Web服务的用户如www-datanginx只有必要的最小权限。禁用目录浏览Apache:Options -Indexes。安全模块根据题目要求可能需配置mod_securityWAF模块或mod_evasive防DDoS的基本规则。数据库安全账户与权限删除匿名账户和测试数据库为每个应用创建专属数据库用户并授予其最小必需的权限。例如Web应用用户通常只需要SELECT, INSERT, UPDATE, DELETE权限绝对不要给GRANT OPTION或FILE权限。访问控制在my.cnf中配置bind-address 127.0.0.1或指定内网IP仅允许来自Web服务器的连接。修改默认端口3306可作为附加安全措施但要注意同步修改应用连接配置。日志记录开启通用查询日志或慢查询日志用于审计和故障排查。这部分最容易出错的地方是权限过泛。很多选手为了方便直接给数据库用户授予ALL PRIVILEGES ON *.*这在评分中会被严重扣分因为它完全违背了最小权限原则。3. 模块B实战追踪从告警日志到完整证据链模块B将选手置于“安全分析师”的角色面对一个已经发生的安全事件如Web服务器被篡改、数据库异常访问、内网主机中毒要求进行排查、分析、取证并给出处置建议。这个过程模拟了真实的应急响应流程检测、分析、遏制、根除、恢复、总结。3.1 初始检测与日志分析在海量数据中寻找“针”事件通常始于一条告警或一个异常现象。题目可能提供Web服务器的访问日志、系统安全日志、防火墙拦截日志或网络流量包。第一步是确定分析范围和时间窗口。例如网站被篡改那么重点就是Web日志中POST或PUT请求特别是针对上传接口、管理后台的请求时间集中在发现前的一段时间内。Linux系统日志分析关键命令grep、awk、sed日志过滤和分析的三剑客。例如在/var/log/apache2/access.log中查找特定IP的请求grep \192.168.1.100\ access.log。last、lastb查看成功和失败的登录记录寻找可疑的登录源IP和时间。journalctl查看系统日志配合-u查看特定服务日志--since和--until限定时间。find结合-mtime、-ctime查找特定时间内被修改或创建的文件。例如查找过去24小时内被修改的PHP文件find /var/www/html -name \*.php\ -mtime -1。Windows日志分析关键点使用“事件查看器”重点关注“Windows日志”下的“安全”、“系统”、“应用程序”日志。利用筛选功能筛选事件ID。例如4625登录失败、4720创建用户、4663文件访问等。对于安全日志理解“主题”谁操作的、“对象”操作了什么、“进程信息”通过什么程序这几个关键字段。一个高效的技巧是先利用已知IOC失陷指标进行搜索。如果题目暗示了恶意IP、特定文件名或哈希值先用这些关键词在全量日志中进行快速定位能大幅缩小排查范围。3.2 网络流量取证用Wireshark还原攻击路径当系统日志无法给出清晰图景时网络流量包pcap文件就是“时光机”。使用Wireshark进行分析整体概览先看“统计”-“对话”找出流量最大的IP对异常端口如高位端口、不常见端口的通信。协议筛选攻击常与HTTP、DNS、ICMP相关。筛选http查看所有Web请求特别注意POST上传数据筛选dns查看是否有大量异常域名解析可能是C2通信筛选icmp看是否有异常大的ping包可能是ICMP隧道。追踪流在可疑的TCP或HTTP数据包上右键“追踪流”-“TCP流/HTTP流”可以完整看到客户端与服务器的通信内容这是发现Web攻击payload如SQL注入语句、webshell内容的最直接方式。文件提取如果流量中存在文件传输如通过HTTP上传下载、FTP、SMB可以使用Wireshark的“文件”-“导出对象”功能尝试提取。在比赛中一个常见的考察点是从流量中还原出被上传的Webshell内容。你需要从HTTP流中找到POST上传请求将其中的multipart/form-data编码的数据进行解码Wireshark通常会自动解码就能看到webshell的源代码进而分析其功能。3.3 恶意文件分析与处置识别、隔离与根除通过日志或流量分析定位到恶意文件如webshell、病毒体后需要进行静态和动态分析。静态分析查看文件内容cat、head、tail识别恶意函数如eval()、system()、exec()、可疑的编码或加密字符串。计算文件哈希值md5sum、sha256sum这是文件的唯一指纹用于在其它主机上搜索同类恶意软件。动态分析谨慎在隔离的沙箱或虚拟机中运行观察其行为创建进程、连接网络、修改文件等。比赛中通常不要求动态运行但需要你根据代码推断其功能。处置步骤必须规范取证首先对恶意文件进行备份拷贝到取证U盘或安全位置并记录其完整路径、权限、哈希值、发现时间。遏制立即断开受影响主机的网络防止横向移动或对外攻击。根除删除恶意文件。但要注意有些高级恶意软件会有守护进程或隐藏在其他位置需要结合进程排查ps auxf、启动项检查systemctl list-unit-filescrontab -l/etc/rc.local和文件完整性检查如rpm -Va对RPM系统进行彻底清理。恢复从备份中恢复被篡改的网页文件并验证其完整性。3.4 报告撰写与加固建议闭环的关键模块B的最后通常要求提交一份简短的应急响应报告。报告不需要文采飞扬但必须结构清晰、证据确凿、建议具体。概述简述事件时间、影响的资产、现象。分析过程简明扼要地描述排查步骤和关键发现如可疑IP、恶意文件路径、攻击利用的漏洞。结论定性事件如这是一起通过Web文件上传漏洞植入webshell的事件。处置措施已采取的行动如删除文件、阻断IP。加固建议这是体现你安全思维深度的部分。建议必须针对根因提出。例如根因是文件上传漏洞建议就应包括1对上传文件进行重命名、白名单校验后缀、检查文件头2将上传目录设置为不可执行3对Web应用进行代码审计或部署WAF。避免空泛的“加强安全意识培训”之类的建议。4. 备赛策略与临场实战技巧基于对2022年赛题和历年趋势的分析要想在AB模块中取得高分需要有策略性的准备和稳定的临场发挥。4.1 技能体系构建从“会做”到“熟练做”备赛不是简单地刷题而是构建一个肌肉记忆般的技能体系。搭建标准化练习环境使用VMware或VirtualBox克隆出多套与比赛拓扑类似的纯净环境。将模块A的所有加固步骤写成可重复执行的脚本Ansible playbook、Shell脚本、PowerShell脚本或批处理。这不仅能加快比赛速度更能保证配置的准确性和一致性。脚本要包含注释和错误处理。建立个人知识库用文档如Markdown或笔记软件分类整理所有命令、配置片段、常见错误及解决方法。例如“防火墙双机热备配置”、“Linux下排查隐藏进程的命令”、“Windows日志关键事件ID列表”等。这份知识库是你比赛时的“第二大脑”。刻意练习薄弱环节通过模拟赛或往届真题找出自己耗时最长的部分可能是Windows加固也可能是Wireshark过滤语法。针对性地进行限时训练直到将其转化为优势项目。4.2 时间管理与流程控制三小时内的决胜之道国赛时间通常非常紧张合理的时间分配至关重要。第一阶段快速阅读与规划10-15分钟。通读所有题目要求用笔在拓扑图上标记关键信息。将任务分为“必得基础分”、“中等难度分”和“高难挑战分”。优先保证“必得基础分”的题目100%完成且正确。第二阶段稳扎稳打模块A70-90分钟。按照“网络连通性-系统加固-服务配置-安全策略”的顺序推进。每完成一个子项立即验证。例如配完IP马上ping网关配完防火墙规则立即从测试机尝试访问目标服务。验证环节绝不能省早期发现错误比最后统一排查成本低得多。第三阶段抽丝剥茧模块B60-80分钟。先根据题目描述确定事件类型然后有方向地查看提供的日志或数据包。分析时养成“假设-验证”的习惯每找到一个线索就思考它是否与其它线索能串联起来形成逻辑闭环。随时保存取证结果和中间分析结论到指定的报告文件里避免最后匆忙整理。第四阶段最终检查与提交10-15分钟。检查所有设备配置是否已保存特别是iptables、Windows防火墙规则。检查要求提交的报告、文件是否齐全命名是否正确。最后重启关键服务如Web、数据库进行一次快速的整体业务连通性测试。4.3 常见“坑点”与避坑指南根据经验以下“坑点”淘汰了大量选手配置未保存Linux防火墙规则、网络配置Windows的本地安全策略、防火墙高级安全规则修改后必须执行保存操作。这是铁律。权限问题配置了服务但服务启动失败往往是文件权限如Web目录、SELinux/AppLocker限制导致。学会查看systemctl status的详细错误信息和系统日志。策略冲突在防火墙或系统策略中后添加的规则可能被前面的规则覆盖。要理解规则的匹配顺序通常是自上而下必要时使用iptables -I插入到链首或调整规则顺序。取证不完整只找到了攻击入口没找到攻击者留下的后门或者只删除了恶意文件没清理相关的计划任务或启动项。记住“攻击链”思维要追溯攻击者的完整动作。报告空洞在加固建议里只写“安装杀毒软件”、“打补丁”。必须具体比如“针对发现的Struts2漏洞CVE-XXXX-XXXX应立即升级Apache Struts至X.X.X版本并在防火墙上临时规则限制对/struts/*路径的访问。”临场遇到完全陌生的要求时切忌慌张。尝试将其分解为已知的知识点。例如题目要求配置一个没听过的Web应用防火墙模块你可以从“它是一个安全模块”这个基本点出发去它的配置文件里寻找类似“规则路径”、“检测引擎开关”这样的配置项结合上下文进行合理配置。很多时候考察的并非你对某个特定软件的熟悉程度而是你举一反三、利用文档和已有知识解决问题的能力。AB模块的竞赛表面上是比技术操作内核是比思维的系统性、流程的规范性和心态的稳定性。把这些基础打牢不仅是为了比赛名次更是为你未来在真实的网络安全岗位上能够冷静、规范、高效地应对每一次安全挑战打下最坚实的根基。