去年秋天，内网一家做精密模具的安全工厂被客户投诉，说他们发过去的管理图纸数据在竞品公司出现了。查了三天，制度问题出在一台连了内网的内网旧打印机上——那台机器默认共享，谁都能扫走缓存文件。安全这事不复杂，管理但暴露了一个老问题：内网不是制度保险箱，它只是内网把门关上了，窗户可能还开着。安全

内网安全的管理第一道口子，往往不在防火墙，制度而在“自己人”的内网便利性妥协上。我见过不少公司，安全为了传文件方便，管理把共享文件夹设成“所有人可读写”，密码用公司名加123。员工觉得顺手，IT部门也懒得管。可一旦有人离职，或者电脑中了勒索病毒，整个内网就像多米诺骨牌一样倒下去。去年那家模具厂后来做了整改，把共享权限按部门拆开，打印服务器单独划进一个隔离区。改动不大，但再没出过类似的事。

说到隔离，很多单位喜欢把内网分成“办公区”和“生产区”，但中间只加一台老旧的硬件防火墙，规则还是三年前写的。有个做电力监控的客户，内网里跑着Windows XP的工控机，补丁打不了，杀毒软件装不上。他们的做法是在交换机上做端口镜像，把工控流量单独引出来做异常检测。这比强行升级系统现实得多。内网安全不是追求完美，而是把风险控制在可接受的范围内。

账号管理是另一个重灾区。我见过一个单位，域管理员密码用了八年没换，离职的运维人员还能远程登录。后来他们上了双因素认证，但只给领导层用，普通员工还是“用户名+密码”。其实内网攻击者最喜欢的就是普通账号——权限低，但能横向移动。一个销售助理的弱密码，可能成为跳板，最终拿到财务系统的访问权。所以我的建议是：别搞分级双因素，全员上，哪怕用短信验证码也比纯密码强。

日志审计这件事，很多人觉得是事后诸葛亮。但内网出问题，往往就是靠日志找到线索的。某医院的内网HIS系统被植入挖矿程序，CPU常年跑满。运维查了一周没结果，最后是翻Windows事件日志，发现一个护士站的电脑每天凌晨三点定时启动一个计划任务。那台电脑的登录账号是“admin”，密码是“888888”。没有日志，这案子破不了。所以内网里每台机器、每个网络设备，日志至少保留180天，别嫌占硬盘。

移动存储介质是个灰色地带。U盘、移动硬盘在内网和外部之间来回插，病毒就是这么进来的。有些单位直接物理封堵USB口，用胶水堵，或者上组策略禁用。但业务部门要拷数据怎么办？建一个“摆渡机”区域，所有外来的U盘先在那台机器上杀毒、格式化，再拿进内网。麻烦是麻烦，但比中一次勒索病毒便宜多了。

最后说一个容易被忽略的点：内网里的设备清单。很多单位连自己有多少台交换机、多少台服务器、多少台打印机都说不清。资产不清，漏洞就管不过来。我习惯每季度扫一次内网，用Nmap或者更简单的arp-scan，把活着的IP列出来，跟台账对一遍。多出来的设备，要么是私接的路由器，要么是忘了下线的测试机。这两种都是隐患。

内网安全没有一劳永逸的方案。它更像是在一个封闭院子里不断修补篱笆——今天补一块，明天换根桩。关键是别等到丢了东西才想起来修。