# #WorkBuddy# #AI办公# 家宽公网机器被爆破轰炸怎么办？用 WorkBuddy 自动化巡检登录日志 + 自动封禁攻击 IP

> 前一篇讲 RDP 一键配置的文章里提过一嘴：机器暴露公网后，日志里很快就会出现大量爆破尝试。当时只配了服务，没来得及讲"被打了怎么办"。这篇补上——记录我怎么用 WorkBuddy 把这件事从"人工翻日志"变成"每 30 分钟自动巡检 + 自动封禁"的完整过程。

## 背景：被爆破的日常

家里一台 Windows 机器经过路由器端口映射暴露在公网，开着远程桌面和文件共享。结果没过几天，安全日志里就全是登录失败（Event ID 4625）记录，来源 IP 来自世界各地，高峰期每分钟十几条。445 端口（SMB）上的匿名扫描更是从没停过。

靠人肉应对显然不现实：总不能每天手动打开事件查看器筛日志、再手动往防火墙里加封禁规则。而这恰好是 WorkBuddy 自动化任务最擅长的事——**定时执行 + 跑命令 + 产出报告**。下面按完整案例的四要素还原整个过程。

## 一、输入材料

整个方案的原材料很简单，都是机器上现成的：

| 材料 | 来源 | 说明 |
| --- | --- | --- |
| 安全事件日志 | Windows 事件查看器 → Security 日志 | 关键事件 ID：4625（登录失败）、4624（登录成功，用于对比误判） |
| 日志查询工具 | `wevtutil`（系统自带） | 用 XPath 过滤事件，不用装任何第三方软件 |
| 防火墙 | `netsh advfirewall` | 封禁 IP 就是加一条入站阻止规则 |
| 攻击现象记录 | 路由器日志 + `netstat -ano` | 确认 445 端口上的高频连接来源 |

给 WorkBuddy 的任务描述里，我直接把这几个要点写清楚了：查 4625、按来源 IP 聚合、超过阈值就封、封完出报告。AI 不需要我教它 Windows 安全机制，只需要我说清楚"查什么、判什么标准、做什么动作"。

## 二、WorkBuddy 配置

实际用到的层级很轻，没有引入任何 MCP 或外部连接器：

- **自动化任务**：定时触发。注意 WorkBuddy 的调度用 RFC 5545 RRULE 表达，例如每 30 分钟跑一次就是 `FREQ=HOURLY;INTERVAL=1` 配合分钟数，写法上和 cron 不一样，这是第一个要适应的点（下文踩坑里有详细说明）。
- **任务 Prompt**：核心指令只有一段，大意是——

```text
你是 Windows 安全巡检助手。执行以下任务：
1. 用 wevtutil 查询最近 30 分钟内 Event ID 4625 的登录失败事件，按来源 IP 聚合统计；
2. 单个 IP 失败次数 ≥ 10 次即判定为爆破攻击；
3. 对命中的 IP，用 netsh advfirewall firewall add rule 加入站阻止规则，
   规则命名统一为 WB_BAN_<IP>，方便后续批量管理；
4. 排除局域网网段（192.168.0.0/16）和本机地址，绝不允许误封内网；
5. 输出结构化报告：时间窗、Top 攻击源、封禁动作清单、剩余风险提示。
```

- **PowerShell 执行权限**：涉及防火墙修改的命令需要管理员权限，WorkBuddy 执行命令时会走系统权限确认，这一步是刻意保留的人工闸门。

## 三、操作步骤（含踩坑）

### 第 1 步：先手动摸清日志查询语法

我让 WorkBuddy 先跑了一条只读查询验证可行性：

```powershell
wevtutil qe Security "/q:*[System[(EventID=4625)]]" /f:text /c:50
```

第一次跑出来的是 XML 原始格式，可读性很差。中途调整：让 AI 在命令后面加 `/f:text` 并用 `/rd:true` 按时间倒序，同时用 XPath 里的 `TimeCreated[timediff(@SystemTime) <= P0DT0H30M0S]` 把时间窗限制在最近 30 分钟，避免每次全量扫描。

### 第 2 步：踩坑一——RRULE 写错导致任务没按预期触发

我最初凭 cron 的直觉写了 `0,30 * * * *` 这种表达式，任务压根没触发。查了文档才确认 WorkBuddy 只认 RFC 5545：分钟级轮询要用 `FREQ=HOURLY` 搭配 `INTERVAL`，而不是 cron 风格的五段式。改成规范写法后立即生效。**建议：配置定时任务前先让 AI 读一遍 RRULE 支持范围，别猜。**

### 第 3 步：踩坑二——封禁规则差点误伤自己

第一次让 AI 自动封禁时，我发现规则清单里混进了一个内网 IP——那是我自己测试登录失败留下的记录。这暴露了一个设计缺陷：阈值判断没有区分内外网。修正方法是在 Prompt 里加上硬性排除规则（见上文第 4 条），并且要求 AI 在报告里单独列出"内网失败来源"，只提示、不封禁。**教训：任何"自动执行有副作用"的任务，Prompt 里必须写清负面清单。**

### 第 4 步：踩坑三——封禁规则越积越多

跑了一周后 `netsh advfirewall firewall show rule name=all | findstr WB_BAN` 已经有几十条规则，其中不少是攻击者临时出口 IP，封了也没意义。最终策略改为：封禁时同时记录到一份本地 CSV（IP、首次封禁时间、命中次数），自动化任务每次先读 CSV，超过 7 天的旧规则自动删除，只保留活跃攻击源。这样防火墙规则表始终保持干净。

### 第 5 步：固化成自动化

把上面验证过的逻辑合并进任务 Prompt，挂上定时规则，以后每 30 分钟自动跑一轮。每次运行的报告由 WorkBuddy 直接输出，我在微信里就能看到当日攻击态势摘要。

## 四、产出物

方案跑通后沉淀下来的可验收成果：

1. **一份可复用的巡检任务 Prompt**（含阈值、排除清单、报告格式），换台机器改改网段就能用；
2. **自动化封禁能力**：高危 IP 由 WorkBuddy 调用 netsh 自动写入防火墙，规则带 `WB_BAN_` 前缀可批量管理；
3. **规则生命周期管理**：CSV 台账 + 7 天过期自动清理，防火墙不膨胀；
4. **每 30 分钟一轮的结构化巡检报告**：攻击源 Top 榜、封禁动作、内网误报提示一应俱全。

## 总结

这类任务的本质是"把一个反复出现的人工排查流程交给定时自动化"。WorkBuddy 在这里的价值排序很清楚：第一是定时触发不用人管，第二是它能自己查语法、写 PowerShell、并根据实际报错中途修正，第三才是报告产出。三个踩坑里最值得记的教训是——**自动化执行破坏性动作前，一定要在指令里写死排除项，并保留一层人工确认**。安全防护这件事，宁可多看一眼报告，也不要让 AI 把自己人封在门外。

> 声明：文中案例基于本人真实运维环境，IP、网段等信息已做脱敏处理。封禁策略仅供参考，公网暴露服务请务必配合路由器侧的访问控制一起使用。
![daily_content.png](https://developer.qcloudimg.com/http-save/yehe-12639135/01c56d83e706558276a6408c89a7ceac.png)![daily_img_inserted.png](https://developer.qcloudimg.com/http-save/yehe-12639135/a85045113496ca614c4088dd5b15e33c.png)![daily_final.png](https://developer.qcloudimg.com/http-save/yehe-12639135/3d7b200f57a1e14e19ccf300d94a0c7e.png)

前一篇讲 RDP 一键配置的文章里提过一嘴：机器暴露公网后，日志里很快就会出现大量爆破尝试。当时只配了服务，没来得及讲"被打了怎么办"。这篇补上——记录我怎么用 WorkBuddy 把这件事从"人工翻日志"变成"每 30 分钟自动巡检 + 自动封禁"的完整过程。

#WorkBuddy# #AI办公# 家宽公网机器被爆破轰炸怎么办？用 WorkBuddy 自动化巡检登录日志 + 自动封禁攻击 IP

运维

安全

开发工具

利用WorkBuddy自动化工具，将公网Windows机器爆破攻击的应对从人工翻日志转为每30分钟自动巡检、封禁及报告产出。方案基于wevtutil查询EventID 4625登录失败事件，按IP聚合统计，命中阈值后自动执行netsh防火墙规则添加，并内置内网IP排除及7天规则过期清理机制，有效控制攻击源。

WorkBuddy企业版限时双倍 Credits 活动

workbuddy

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

#WorkBuddy# #AI办公# 家宽公网机器被爆破轰炸怎么办？用 WorkBuddy 自动化巡检登录日志 + 自动封禁攻击 IP-腾讯云开发者社区-腾讯云

#WorkBuddy# #AI办公# 家宽公网机器被爆破轰炸怎么办？用 WorkBuddy 自动化巡检登录日志 + 自动封禁攻击 IP

#WorkBuddy# #AI办公# 家宽公网机器被爆破轰炸怎么办？用 WorkBuddy 自动化巡检登录日志 + 自动封禁攻击 IP

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐