内容摘要：一台防火墙堵在办公室和互联网之间，规则表列了三百多条。上周三上午十一点，销售部老张的电脑还是中了勒索病毒，文件后缀全部变成.lock。IT查了半天，病毒是从老张早上点开的招聘简历附件进来的——邮件网关

一台防火墙堵在办公室和互联网之间，计算机网规则表列了三百多条。络防上周三上午十一点，火墙销售部老张的计算机网电脑还是中了勒索病毒，文件后缀全部变成.lock。络防IT查了半天，火墙病毒是计算机网从老张早上点开的招聘简历附件进来的——邮件网关没拦，因为发件人是络防他老婆的QQ邮箱，账号被盗了。火墙 防火墙管不到人的计算机网手滑。这话听着像推卸责任，络防但事实如此。火墙它检查的计算机网是数据包的“长相”：源地址、目的络防端口、协议类型。火墙它不知道附件里那个伪装成PDF的宏脚本，会在老张双击后悄悄连上一个境外的C2服务器。就算知道了，https流量加密后，防火墙看到的只是一堆乱码。能解开吗？能，但需要部署SSL解密设备，那玩意儿贵，而且涉及员工隐私，法务部第一个跳出来反对。 还有更尴尬的场景。上个月，研发部的小李为了给客户演示，把公司内部测试环境的端口映射到了公网。防火墙规则里确实没有这条，但小李用了内网穿透工具，走的是防火墙放行的443端口。流量伪装成正常网页访问，穿透工具的服务端在云端中转，防火墙连目标服务器在哪都看不清。你问为什么不用VPN？小李说VPN连一次要输三次验证码，嫌麻烦。 防火墙也挡不住物理层的偷袭。机房保洁阿姨的吸尘器插头碰掉了核心交换机电源，整个公司断网四十分钟。防火墙毫发无损，但网络全瘫。这事儿我亲眼见过，阿姨一脸无辜，说只是挪了下桌子。 别误会，我不是说防火墙没用。去年它确实拦住了几波来自海外的端口扫描，还有一次拦截了一个试图通过3389端口爆破进来的IP段。但它的逻辑是“规则匹配”，不是“意图判断”。它能告诉你“有东西在敲门”，但不知道敲门的是快递员还是撬锁的。 真正的漏洞往往在规则之外。比如员工把公司WiFi密码发到小红书求“帮看网速”，比如有人把U盘插进机房服务器USB口给手机充电，比如销售部集体用同一个弱密码“sales2023”登录ERP系统。防火墙对这些行为毫无感知，因为它根本不参与业务层的身份认证。 所以你看，防火墙是个忠诚的守门员，但球场上还有中场、后卫和守门员自己。它防不住自家后卫的乌龙球，也防不住前锋把球踢进自家门。更麻烦的是，现在攻击者早就不走大门了，他们翻墙、挖地道、甚至假扮成施工队混进院子。 写这些不是让你拆了防火墙。该装还得装，但心里要清楚：它挡的是明面上的恶意，挡不住的是人心和流程的漏洞。真正的安全，是让老张不再点陌生附件，让小李别绕开审批用穿透工具，让保洁阿姨的吸尘器远离机柜——这些事，防火墙一件都干不了。