2、主机和外网IP已经建立连接（ESTABLISHED状态）或者尝试建立连接（SYN_SENT状态），可以先查询IP所属地，如果IP为国外IP或者归属各种云厂商，则需要重点关注。进一步可以通过威胁情报（https://x.threatbook.cn/等）查询IP是否已经被标注为恶意IP。

3、如果无法直接从网络连接情况判断是否为异常连接，可以根据网络连接找到对应的进程ID，判断进程是否异常。如果不能从进程判断，可以进一步找到进程对应文件，将对应文件上传至virustotal（https://www.virustotal.com）进行检测。如上面截图中对内网扫描的进程ID是2144，在任务管理器中发现对应的文件是svchost.exe。

上传至virustotal检测的结果为恶意文件。

若在排查网络连接中，任务管理器只能看到有命令行工具（如powershell、cmd）powershell进程与外联IP建立会话，无法看到进程对应的运行参数。此时可借助Process Explorer进一步观察powershell的运行参数。如下在Process Explorer中发现powershell执行了cobalt strike脚本的痕迹。