故障隔离的关键是让受感染节点“动弹不得”，即切断其外传数据、接收指令和横向连接的能力；网络隔离实现快速全局断网，安全组则精细封堵内外通信路径，二者协同将失陷节点变为无影响力孤岛。
故障隔离的关键，是让受感染节点“动弹不得”——既不能往外传数据，也不能往里收指令，更不能横向连到其他机器。网络隔离和安全组正是实现这一点最直接、最可控的两层手段。
用网络隔离快速切断整机通信
当确认某台主机已被勒索病毒或后门程序控制，第一反应不是查日志、不是杀进程，而是立即阻断它的所有网络出口。这属于应急响应中的“物理级隔离”逻辑，不依赖操作系统是否可信。
- 全局断网：通过终端防火墙或云平台控制台，下发“完全断网”策略，禁用该主机全部入站与出站流量。此时即使恶意程序还在运行，也无法外联C2服务器、无法扫描内网、无法上传数据。
- 仅限内网访问：适用于尚未确认感染但触发高危告警（如异常大量445端口连接）的场景。关闭互联网出口，保留内网基础通信，便于后续排查，同时防止外泄或远程操控。
- 仅限指定地址通信：进一步收缩范围，比如只允许访问日志服务器（10.0.10.5）和EDR管理端（10.0.20.8），其他一切IP和端口全部拒绝。这种策略适合高敏业务终端的日常防护，也适用于隔离后的临时诊断阶段。
用安全组精细封堵横向移动路径
网络隔离是“关大门”，安全组则是“锁门窗”。它在实例粒度上控制谁可以连它、它能连谁，尤其擅长阻断攻击者在VPC内部的横向渗透。
- 收紧入方向规则：默认安全组往往放通22/3389等管理端口。一旦发现某ECS异常，应立即将其安全组的入方向规则改为“仅允许运维跳板机IP+特定端口”，其余全拒。避免攻击者通过SSH爆破或漏洞利用继续接管。
- 限制出方向流量：很多安全组默认出方向全放行，这会让已失陷主机自由扫描139/445/Redis 6379等常见服务端口。应显式配置出方向规则，只允许访问必需的API网关、数据库代理或监控上报地址，其他一律禁止。
- 绑定最小权限安全组：不要复用宽泛的安全组。为数据库、缓存、中间件等后端服务单独创建安全组，规则只允许可信应用服务器IP段访问，并强制绑定到127.0.0.1或内网地址（如10.0.2.5），彻底不监听0.0.0.0。
配合其他机制加固隔离效果
单靠一层策略容易被绕过，需叠加使用才能真正卡死路径。
- 网络ACL协同控制：在交换机（vSwitch）层面设置ACL，对异常IP段或端口范围做粗粒度拦截。例如：拒绝来自192.168.5.0/24子网的所有445端口请求。它比安全组更前置，且不依赖实例状态。
- 关闭非必要服务与端口：勒索病毒常利用SMB（445）、RDP（3389）、SSH（22）传播。对非运维终端，直接在系统层禁用SMB服务、关闭3389端口，从源头减少攻击面。
- 启用流量日志与实时告警：开启VPC流日志或云防火墙会话日志，一旦隔离后仍有异常出向连接（如DNS隧道、HTTPS外联），可立即发现并二次处置。
本质上，网络隔离负责“快切”，安全组负责“细锁”，两者结合，就能把一个已失陷节点变成孤岛——它还在跑，但已经失去所有对外影响力。
