网络监控要补的三个能力：从韩国银行 AI 攻击事件说起
AI 摘要
以韩国多家金融机构遭遇AI辅助攻击事件为案例，解析AI主要压低攻击单位成本而非创造全新攻击技术。提出网络监控需要补齐暴露面、行为基线、处置时效三道串联防线，讲解每道防线观测信号、传统方案短板以及落地顺序，指导运维完善资产识别、流量基线、自动化隔离能力，抵御大规模广域扫描类AI攻击。
答案先说：AI 改变的不是攻击手法，而是攻击的单位成本。当一次突破的成本降到不足 1 美元、耗时以秒计算，攻击者的最优策略就从“找一家值得打的目标”，变成“把能扫到的都扫一遍”。这时网络监控要回答的第一个问题也就变了——不再是“核心系统有没有告警”，而是“网络里现在到底有什么、和昨天比差多少”。
这不是推演。2026 年 9 月 27 日到 10 月 1 日，韩国至少七家金融机构在五天内相继被入侵，累计约 6.8 万条客户与员工个人信息外泄。韩国金融监督院 10 月 6 日通报，已掌握 33 个尝试攻击金融机构的 IP 地址，去重后 28 个。韩国总统李在明同日在内阁会议上表示，AI 技术的发展正在让不具备专业技能的人员也能够轻易实施攻击。
ManageEngine OpManager 在这类场景里的位置，是把“网络里现在有什么、谁在和谁通信、什么时候开始变的”变成一组持续可比的数据，而不是等到事后回放日志。
关键要点（Key Takeaways）
AI 降低的不是攻击的技术门槛，而是攻击的单位成本；成本降下来之后，攻击的广度会先于深度爆发。
这次被打穿的不是网银，而是员工与合作伙伴使用的内部系统——贷款中介查询、员工移动办公、销售支持，它们从来不在“核心资产”清单里。
三道防线是暴露面（资产与端口漂移）、行为基线（东西向流量异常）、处置时效（从发现到隔离的分钟数）；缺哪一道，风险就落在哪一道。
传统手段失效的原因各不相同：暴露面靠季度台账跟不上天级变化，行为基线靠固定阈值跟不上业务波动，处置时效靠人工串联跟不上分钟级窗口。
五天，七家机构，6.8 万条数据：这次事件到底发生了什么
先把事实摆清楚，再谈结论。攻击集中在 2026 年 9 月 27 日至 10 月 1 日这五天。韩国金融监督院 10 月 6 日通报，已掌握 33 个曾尝试攻击金融机构的 IP 地址，去重后为 28 个，分布在美国、日本、德国等约十二个国家；警方分析后确认，这些地址中相当一部分用于隐藏真实位置，因此不能据此判断攻击者的实际所在地。
受害面是七家金融机构：新韩银行确认约 2.5 万名客户信息外泄，KB 国民银行 119 名，韩亚银行 89 名，BNK 釜山银行、两家储蓄银行与现代资本等机构也在排查中陆续发现入侵迹象，累计约 6.8 万条客户与员工个人信息外泄。泄露字段包括姓名、电话号码、年收入与贷款额度，部分涉及居民登记号——这批数据的价值不在数量，而在精度：它足够支撑针对具体个人的定向诈骗。
最值得注意的一点，是攻击目标的选择。这波攻击并没有冲着网银或手机银行这类面向客户的服务，而是锁定员工与合作伙伴使用的内部系统：贷款中介查询服务、员工移动办公系统、销售支持系统。这些系统与内网存在数据交换通道，防护强度却普遍低于核心业务系统，于是成了通往内网的跳板。
发现过程本身也说明问题。新韩银行最先上报，金融安全院把从新韩银行日志里追溯到的攻击 IP 通报给全行业后，其他机构才开始逐家排查访问记录，才陆续确认自己也被入侵。换句话说，在官方通报之前，多数机构并不知道自己的内部系统已经被打穿。
AI 改变的是攻击的单位成本，不是攻击手法
先纠正一个常见误解：这次不是出现了什么全新的攻击技术。韩国安全企业 EverSpin 的判断是，它并非全新形态，而是网页数据抓取、直接调用 API、机器人程序、宏脚本等既有手法，叠加了 AI 的高速自动化能力之后演进出来的形式。调查人员在攻击所用服务器的页面标题中，发现了开源 AI 自主渗透测试工具的痕迹——这类工具本身定位是帮机构找自己的漏洞，也确实有红队与研究者在正常使用，所以发现其踪迹并不等于该服务器一定参与了攻击。
真正改变的是成本结构。韩国安全公司的复现测试显示，借助这类 AI 工具完成一次外围系统的突破，耗时约 22 秒、消耗约 4.4 万个 token，成本不足 1 美元。工具本身开源、免费下载，可调用多个外部大模型，用一句自然语言指令就能串起信息收集、漏洞扫描与路径规划。
成本降到这个量级，攻击者的最优策略就变了：不再是花两周挖一个 0‑day 去打一家目标，而是把公开手法在成百上千个面上跑一遍，命中哪个算哪个。这对防守侧的含义非常直接——你要管理的对象数量级变了。过去只需要盯住核心系统的几十个入口，现在要盯住所有联网的东西，包括那些“从来没人认为重要”的系统。这正是网络监控要回答的第一个问题。
用 NIST 网络安全框架的语言说，挑战集中在最前面的“识别”（Identify）这一功能上：你无法保护自己不知道存在的资产，也无法检测自己没有基线参照的行为。下面三道防线，就是把这个“识别”拆成可执行的动作。
还有一层含义常被忽略：AI 让攻击的广度优先于深度，所以防守侧的覆盖优先级也要跟着调整——从“核心设备的深度指标”，转向“全网设备的在线状态与变更”。这不是降低对网络设备监控的要求，而是把它的第一性问题往前挪一格。
AI 攻击防御的三道监控防线：暴露面、行为基线、处置时效
把防守侧要补的能力收拢成三条，就是下面这张表。三条的顺序不能换：先知道有什么，才谈得上给它做基线；先有稳定的基线，隔离动作才知道该隔离谁。
三者的关系不是并列而是串联：第一道提供数据来源，第二道在此基础上做统计，第三道消费前两道的结论。所以任何一道缺位，后面都会退化成拍脑袋——这也是企业网络监控要先想清楚顺序的原因。
| 防线 | 要回答的问题 | 看什么信号 | 传统手段为什么失效 |
|---|---|---|---|
| 第一道 暴露面 | 网络里现在有什么，和台账差多少 | 新增 IP/MAC、新增开放端口、设备型号与固件变化、交换机端口重新上线 | 资产台账是季度或项目制的静态快照，对不上云主机、临时环境、外包接入的天级变化 |
| 第二道 行为基线 | 这个对象平时的行为是不是变了 | 新出现的通信对、对端数量突增、非业务时段批量外发、会话时长与数据量偏离 | 固定阈值要么天天告警被忽略，要么设得太高形同虚设；而且它盯的是南北向，看不清内网横向 |
| 第三道 处置时效 | 从发现到隔离要几分钟 | 告警到工单的转化耗时、隔离动作是否可预置、跨网段策略下发是否一致 | 不是看不到，而是看到之后要人工串联：查归属、找责任人、走审批、登设备改配置，链路是小时级的 |
第一道 · 暴露面：资产与端口漂移
暴露面这个词经常被理解成“有没有资产台账”，但真正的问题不是有没有台账，而是台账和现实差多少。这次事件里被打穿的正是内部系统——说明“在内网”不等于“已登记”，更不等于“已被监控覆盖”。
传统台账为什么对不上：它是季度或项目制的静态快照，而云主机的弹性伸缩、临时测试环境、外包人员接入、新开分支的即插即用，都在以天为单位改变网络里的实际构成。所以网络发现的关键不是做一次全量盘点，而是把盘点变成按天自动跑的差异比对。
具体看四类信号：新增的 IP 与 MAC、新增的开放端口、设备型号与固件版本出现变化、以及台账中不存在的设备出现在生产网段。前三项网络发现可以直接给出，第四项需要把发现结果与台账做比对。交换机侧还要单独盯一类——端口从 down 变为 up 且绑定了新 MAC，这通常是未授权接入的第一现场，交换机端口映射能把这类变化定位到具体端口。
落地上有一条最低成本的动作：每天跑一次自动发现，把差异分成“新增设备”“新增开放端口”“设备消失”三类，各自指定认领人，只把差异推给人看，而不是让人去核对一份几千行的完整清单。拓扑侧同理，网络拓扑的图层差异比静态图更有价值——你要看的是“和上周比哪里变了”。
这一步对企业网络监控的意义是基础性的：后面两道防线都以“对象”为单位，对象清单不准，基线和隔离都会落空。
第二道 · 行为基线：东西向流量异常
行为基线要回答的不是“流量大不大”，而是“这个对象平时的行为是不是变了”。固定阈值在这件事上天然失真：链路用量整体上台阶之后，原来的阈值天天告警，团队很快把它调高，然后彻底不再看它——阈值就这样变成了摆设。
还有一个方向性问题。多数团队的注意力在南北向流量（进出互联网），而这次攻击的落点在内网：从内部系统进入，再横向移动。所以真正要盯的是东西向——服务器与服务器之间、终端与服务器之间的通信关系。看四类信号就够了：两台平时不通信的主机开始通信、某台主机的通信对端数量突然增多、非业务时段出现批量数据外发、单个会话的时长与数据量分布偏离常态。
这些数据多数网络设备监控平台本身就在采集，缺的往往不是采集能力，而是把它按“对象—对端—时段”重新组织一遍的口径。
判定方式也要换轨：不比较绝对值，而比较同一对象在可比时段（比如上周同一天的同一时段）的偏离倍数。自适应阈值解决的就是这件事——它把阈值从一条固定横线，换成一条跟着业务走的曲线。周一的早高峰和周日凌晨本来就不该用同一个标准。
常见顾虑是“没有全流量镜像，做不了基线”。其实不必追求完整的数据包级可见性。主流路由器、交换机、防火墙都支持导出 NetFlow、IPFIX、sFlow 这类流数据，靠它们就能完成按对象的聚合与基线比对；网络流量分析用的也是这一层数据。真正的前提只有两条：采样率要稳定，基线口径要一致——采样率一变，历史基线就作废。
最后一条容易被跳过：基线要定期重算。业务在增长、组织在调整、应用在迁移，一年前的基线描述的是一年前的网络。建议每季度重算一次，并在重大业务变更后立即重算。
第三道 · 处置时效：从发现到隔离的分钟数
前两道解决的是“能不能看见”，这一道解决的是“看见之后多久能动手”。把它变成一个可量化的指标：从监控发现异常，到网络侧完成隔离，中间用了几分钟。这个数字应当按月统计并对外公布，而不是只在事后复盘里提一句。
为什么传统做法跟不上：瓶颈从来不在“看不到”，而在看到之后的人工串联——先查这个 IP 归谁、再找责任人、再走审批、再登录设备改配置或者提工单。整条链路是小时级的，而前面提到的那次突破耗时是 22 秒。数量级上的差距，靠“值班同学手脚快一点”是补不上的。
所以要盯的是三类机制而不是三类告警：第一，告警能不能自动转成工单并带上归属信息，而不是先发到群里等人认领；第二，隔离动作能不能预置——为常见的异常场景提前写好处置脚本，触发后由IT 工作流自动化自动执行；第三，跨网段的策略下发是否一致，否则分支站点会变成隔离的盲区。
这里还有一个容易被忽略的配套：告警本身必须实时。如果采集与告警链路有十几分钟的延迟，前面两道防线的输出再准也没有意义。实时网络监控与网络监控告警要保证的是同一件事——信号从设备到值班台的时延要在分钟以内。
顺带说一句：把处置时效当成指标统计之后，很多“看起来是监控问题”的事会暴露成流程问题。这其实是好事——它让改进有了明确的对象。在企业网络监控的语境里，这个指标长期被归到运维侧而不是安全侧，但它的分母恰恰决定了安全事件的损失规模。
三道防线怎么落到现有监控体系上
建设顺序建议是：暴露面 → 行为基线 → 处置时效。暴露面成本最低、见效最快，且是后两者的输入；行为基线需要至少一个完整业务周期才能成基线；处置时效依赖前两者的输出质量，放在最后。三条一起铺开却都做一半，是最常见也最浪费的排法。
第一道还要有一个可验收的收敛标准，否则它会退化成一次盘点：每周新增未登记设备数、从上线到登记的时延、以及网络发现对生产网段的覆盖率。这三个数字按月看趋势，才是暴露面在收敛的证据。
三个误区要提前避开。
误区一：把“有资产台账”当成暴露面已覆盖——真正的暴露面是台账与自动发现之间的差值。
误区二：把“带宽打满了”当成异常——带宽是接口级汇总值，带宽监控能触发告警但触发不了动作，真正该判的是对基线的偏离。
误区三：把“告警发出去了”当成已处置——隔离动作执行完成才算。分布式环境还要额外注意一条：分支与多站点必须统一到同一套采集口径和判据口径，否则各地的基线不可比，分布式监控也就失去了横向对比的能力。
最后给一个自评口径：三道防线里，你现在的网络监控覆盖了几道？少一道，风险就落在那一道上。如果只能先做一件事，就先做暴露面——这次事件最直接的一条教训是，被攻破的系统不在任何一份“重点资产”清单上，但它们确实联网、确实有数据、确实在被访问。
选型上还有一个实用判断：别按功能清单的长度挑网络监控工具，而要看它能不能把上面三件事串成一条线——发现得到、比对得了、处置得动。多数网络管理软件都能做第一件，能把三件串起来的并不多。
参考来源
1. 韩国金融监督院2026‑10‑06金融机构AI辅助入侵事件公开通报
2. 韩国安全厂商EverSpin攻击技术复现分析报告
3. NIST网络安全框架Identify域资产识别相关指南
扩展阅读
还想再确认几件事？
按您现在最关心的那一项继续。
常见问题（FAQs）
- AI辅助攻击和传统攻击最大区别是什么？
答：没有发明全新攻击技术，核心变化是攻击单位成本大幅降低。攻击者不再专门深挖高价值目标，改为大规模广域扫描，大量非核心、未登记的内部系统会成为主要突破口。
- 三道监控防线建设的正确顺序是什么？
答：暴露面→行为基线→处置时效。暴露面成本最低、见效最快，是后两道防线的数据输入；基线需要完整业务周期；处置时效依赖前两道输出，放在最后。三道同时铺开但全部半完成是常见浪费。
- 没有全流量镜像，还能做东西向行为基线吗？
答：可以。依靠路由器交换机导出NetFlow、IPFIX、sFlow流数据就可以做对象级聚合与基线比对，不需要完整数据包镜像。前提保证采样率稳定，基线口径统一。
- 暴露面监控重点关注哪些信号？
答：新增IP/MAC、新增开放端口、设备固件型号变更、交换机端口UP且绑定全新MAC，重点比对自动发现结果与静态资产台账之间差异。
- 处置时效指标代表什么含义？
答：从监控检测到异常，直至网络层面完成隔离消耗的分钟数。用来衡量告警之后整套人工/自动化处置链路效率，按月统计，不能只在复盘时才看。
