内容摘要：去年冬天，我帮一家做跨境电商的朋友处理了一次入侵事件。攻击者没用什么高级漏洞，就是靠一个离职员工没注销的VPN账号，大摇大摆进了内网。三天后，他们才发现订单数据库被人拖走了一半。这事让我重新想一个问题

去年冬天，网络我帮一家做跨境电商的安全朋友处理了一次入侵事件。攻击者没用什么高级漏洞，防护就是体系靠一个离职员工没注销的VPN账号，大摇大摆进了内网。建设三天后，网络他们才发现订单数据库被人拖走了一半。安全这事让我重新想一个问题：我们花大钱买的防护防火墙和EDR，到底在防谁？体系

网络安全防护体系，很多人第一反应是建设堆设备。下一代防火墙、网络WAF、安全蜜罐、防护态势感知平台，体系机柜塞得满满当当。建设但设备之间不对话，日志格式各玩各的，运维人员每天被几千条告警追着跑。我见过一个中型企业，安全预算一年两百多万，结果勒索软件照样把财务系统锁死。事后复盘，问题出在一台没人管的测试服务器上——它不在任何资产清单里，自然也没人给它打补丁。

体系这个词，重点在“体”，不在“系”。体是身体，得有骨架、有神经、有免疫。骨架是资产管理和身份认证，神经是流量检测和日志聚合，免疫是响应流程和人员意识。缺了哪一块，病毒都能找到口子钻进来。

资产梳理这事听起来特别土，但它是地基。你不知道自己有什么，就谈不上保护什么。我习惯用被动流量分析加主动扫描交叉验证，每季度跑一次。有一次扫出一台开发人员私接的树莓派，上面跑着内网穿透服务，密码是123456。这种设备，再贵的防火墙也拦不住，因为它就是从内网长出来的。

身份认证这块，零信任喊了好几年，落地时最容易卡在业务部门。财务说每次登录都要MFA太麻烦，销售说手机令牌丢了进不了CRM。我的做法是分级：核心系统强制硬件密钥，普通办公用生物识别加动态码，对外服务走风险自适应认证。别一刀切，切太狠了业务会绕开你，自己搭个影子IT，那更危险。

检测和响应得连起来看。很多团队检测能力不错，Suricata规则写得飞起，但响应就靠一个人盯着屏幕。凌晨三点告警响了，没人看，第二天早上 attacker 已经横向移动完了。我建议至少把SOAR的自动化剧本跑起来：隔离主机、禁用账号、封禁IP，这三件事不需要人工确认。先把损失控制住，再慢慢查原因。

人的因素最不可控。钓鱼邮件演练，第一轮点击率30%很正常。但我会把点击的人拉到一个群里，不发通报，就发一个两分钟的视频，展示点击之后攻击者能做什么。第二轮点击率通常降到8%以下。恐惧驱动不如好奇驱动，让人亲眼看见后果，比讲一百遍政策都管用。

供应链是另一个软肋。你防得再好，供应商的一个API密钥泄露，照样把你卖了。我现在的习惯是，任何第三方接入，先给最小权限，再上API网关做审计。合同里加一条：安全事件24小时内必须通报。不通报的，直接断连。商业逻辑倒逼安全合规，比安全部门求着业务部门配合有效得多。

最后说点实在的。别追求满分体系，追求可演进的体系。每季度做一次红蓝对抗，蓝队输了没关系，把暴露的问题变成下一季度的建设清单。安全不是状态，是过程。你今天觉得固若金汤，明天可能就因为一个没打补丁的Log4j被撕开口子。保持敬畏，保持迭代，比什么都强。