msr3610series下电脑被攻击，怎么查看被攻击的是哪台电脑

第一步：定位被感染的电脑

当内网电脑被僵尸网络控制时，通常会持续向外部控制端发起连接或扫描，这种行为会在路由器上留下明显痕迹。你可以通过以下方法锁定这台设备：

1. 查看路由器日志，锁定可疑IP
通过命令行登录路由器，查看日志和会话记录，找出连接数异常或访问可疑地址的IP：

2. 利用黑名单功能反向定位
MSR3610系列支持动态黑名单功能。你可以先开启扫描攻击防范，当路由器检测到扫描行为时，会自动将攻击源IP加入黑名单：

3. 如果以上方法难以直接锁定
可以采取“排除法”快速缩小范围：

• 在核心交换机或路由器上配置端口镜像，将流量镜像到一台运行Wireshark的电脑上

• 筛选 tcp.port == 445、dns.qry.name contains "malware" 或 tcp.flags.syn == 1 and tcp.flags.ack == 0 等典型恶意流量特征

• 通过MAC地址反查接入交换机端口，定位具体是哪个工位/网口

• 另外，如果你配置了EAD（终端准入控制）功能，也可以通过iMC平台直接查看终端的病毒库版本和补丁状态。

 第二步：路由器安全配置（长期防御）

在找到感染源之后，更重要的是通过路由器配置避免类似情况再次发生。

配置建议概览

1. 开启攻击防范功能（关键）
MSR3610系列内置了攻击检测与防范模块，可以有效防御单包攻击、扫描攻击和泛洪攻击。建议在连接内网的接口上启用默认策略：

如果内网电脑不需要访问外网，可以只开放必要的业务端口（如HTTP/HTTPS、DNS），其余全部阻断：

3. 启用黑名单功能
让路由器自动封锁发起扫描或攻击的IP：

4. 关闭不必要的端口和服务
减少攻击面，例如关闭SSH、Telnet等远程管理端口的公网访问：