电子政务外网被扫出高危漏洞，电政这事儿一点都不意外。外网网上个月某地人社局一台前置机被检测出Redis未授权访问，络安攻击者直接写入了SSH公钥。全整运维人员说那台机器三年没打过补丁，改报告连防火墙规则都是电政默认的“全通”。这不是外网网孤例。我们抽查了12个区县的络安政务外网节点，9个存在弱口令，全整5个还在用Windows Server 2008。改报告整改不是电政发个通知就能解决的，得从根子上动刀。外网网

先说说边界的络安问题。很多单位以为政务外网跟互联网物理隔离就万事大吉，全整但现实是改报告——移动办公、数据交换、第三方运维，哪条路都可能撕开口子。某市医保局为了图省事，在隔离网和业务网之间搭了一台双网卡服务器做文件摆渡，结果成了攻击者的跳板。整改方案里我们直接砍掉了所有非必要的跨网通道，必须保留的，上加签验签设备，数据摆渡改成单向光闸。别嫌贵，一台光闸的钱比数据泄露后的罚款零头都少。

终端侧的问题更琐碎，也更要命。政务外网里跑着大量XP时代的业务客户端，杀毒软件还是2016版的单机版。我们做了个实验：拿一台未打补丁的终端接入外网，平均17分钟就被扫描到，43分钟被尝试登录。整改时强制推行了终端准入，没装EDR的机器连IP都拿不到。但阻力不小——某局的老会计说新系统拖慢了她的Excel，最后只能给她单独划了个VLAN，限速但放行。妥协归妥协，总比整个网被拖垮强。

账号权限这块，积弊最深。一个退休返聘人员还留着域管理员权限，问他管什么，他说“以前管打印机的”。我们花了三周时间清理了200多个僵尸账号，其中37个有远程登录权限。整改后所有运维操作必须过堡垒机，双人复核。有个单位的运维公司闹情绪，说流程太慢影响故障处理。我们直接怼回去：你们上次误删数据库的时候，怎么没嫌自己手快？

日志和监测是另一个重灾区。多数单位的安全设备只存日志不分析，告警邮件发到没人看的邮箱。我们部署了一套轻量级SIEM，把防火墙、WAF、EDR的日志统一收上来，设了12条关键告警规则。上线第一周就抓到两次内网横向渗透——一个是从OA系统漏洞进来的，另一个是U盘摆渡。值班人员现在每天要填告警处置单，虽然麻烦，但至少知道谁在敲门。

整改过程中最头疼的不是技术，是人的惯性。某区信息中心主任跟我说：“我们这么多年没出事，你们一来就这不行那不行。”我给他看了份暗网样本：该区政务外网的拓扑图挂在某论坛上，标价0.3个比特币。他沉默了。安全这事儿，没出事是运气，出了事就是事故。整改报告交上去那天，我又扫了一遍，漏洞从47个降到6个，剩下的都是业务系统自带的，得等厂商发补丁。

说到底，政务外网的安全不是买几台设备就能解决的。它需要持续运营——每周扫漏洞，每月查账号，每季度做演练。我们给每个单位留了一份《最小安全基线清单》，A4纸两页，做不到的就别连外网。话糙理不糙。网络空间没有绝对的安全，但至少别当那个最软的柿子。