倍福文学

手机浏览器扫描二维码访问

第35章 设陷捕鼠（第3页）

相关的攻击事件整理成矩阵，横轴是攻击时间，纵轴是攻击手法和目标类型。

她在矩阵的右上角留了一块空白，应该出现尚未生的下一次攻击。

根据前五次攻击的间隔周期推算，下一次攻击大约会在十一月中旬出现，攻击目标可能是对九家以上供应商有所依赖的核心集成商，这类公司在尔近郊的工业区分布较为集中，网络架构大多是十年前建成的旧系统，升级的间隔期偏长，漏洞也更密集。

她跟组长提出搭建虚拟诱饵服务器的方案，内容包含五个部分：服务器配置、诱饵数据的构成、攻击行为的监听方式、日志的实时备份、以及反追踪触条件。

组长花了四十分钟看完十九页的方案书，期间没有抬头，翻页的节奏均匀，像在读一份不需要额外斟酌的报告。

诱饵服务器的搭建花了六天，露娜负责配置其中的诱饵数据部分，把真实的采购订单和物流信息做了脱敏处理后放进去，使数据看起来像是某个大型集成商的内部文件，目录结构模仿了韩国国防工业常用的编号规则，延用至三个字符的缩写段位。

服务器上线后的第二天，日志里出现了第一次试探性扫描。扫描来自一个位于东欧的跳板节点，扫描的深度刚好停在诱饵文件的第一层目录前，没有进入更深的层级。

她把痕迹记录下来，没有采取任何动作，欲擒故纵。

试探持续了四天，每次的时间都不长，最短的一次只有三分钟，最长的一次不到十二分钟。

到第五天，攻击者进入了第二层目录，读取了一个名为“采购清单_四季度”

的文件。这个文件是露娜专门设计的，里面包含一组虚构但符合行业惯例的采购条目，条目中嵌入了一个能够触反向追踪的数据包，像一枚埋在文档里的地雷，只有在远程打开时才会触引信，留下的痕迹非常浅，浅到大多数防火墙会把它当作普通的连接丢失，不会出警报。

第十天凌晨两点四十七分，攻击者进入了第三层目录。露娜在地下室的监控室里值班，屏幕上显示诱饵服务器正在被访问，数据流以恒定的率向外传输。

她设置了日志分秒备份，数据包的分路径清晰地记录在上——从东欧节点到东南亚托管商，再到一个位于亚洲某国境内的物理地址，该地址对应的注册信息在公网数据库中查不到，但根据路由节点之间的延迟差推算，它的实际位置不可能出某座城市的范围，城市的名字在露娜的脑海里形成了初步的轮廓。

她把数据写入备份盘里再对照了三次，等所有数据都确认无误，才在值班日志上写下地名。

攻击者没有意识到自己已经暴露，仍在诱饵系统内停留了大约二十分钟，期间遍历了六个目录并下载了三个文件。

露娜没有切断连接，她需要观察对方在获取数据后会如何行动。

攻击者在下载结束后立刻断开连接并清除了部分访问日志，但日志的备份早已被自动系统实时复制到离线存储中，即使他把原始记录全删了也没用，因为露娜在搭建服务器的第二天就已经关闭了覆盖功能，只允许追加，不允许修改。

天亮之前，她写完了初步追踪报告。报告结论很简短：攻击路径上的物理节点位置经多次校验，无法被一般跳板完全掩盖；其出口网关的地理范围收敛于同一座城市，而这座城市恰好是哈夫克集团在亚洲部署数据中心的主要节点所在城市之一，二者在路由层共享至少三个共同的自治系统编号。

为了避免不必要的麻烦，她没有在报告中直接点名哈夫克，只写了自治系统编号和可能的运营商特征。

报告提交后，上级的反馈比她预想的快了三天，由崔中校口头转达——组长在电话里只说了几个字，措辞简短，语气平静——“先把诱饵服务器撤了”

。

她没有接到任何正式书面指令，也没有人告诉她接下来该怎么做，就这么等了三天。

这三天里，她尝试通过内部系统的数据库回溯那个物理地址的更多信息，但访问请求被系统自动拒绝了两次——

第一次是权限不足，第二次是查询被标记为“低优先级”

，排在了队列末尾。

她本来打算换个入口再试一次，结果还没动手，就接到了组长办公室的直接召唤：

“金中尉，来办公室一趟。”