内网代理与边界流量观察

## 说明 代理与隧道技术在合法运维、演练中都会出现。安全团队更应关注**异常出联、非常用端口、长连接心跳**等检测点。 ## 蓝队关注 - 终端异常外联目的地与证书。 - DNS 隧道可疑特征。 - 代理工具默认特征与进程链。 ## 建议 建立「正常基线」，用 EDR + 网络流量分析联动告警，减少仅靠 IOC 的滞后。