内容摘要：去年冬天，一家做跨境电商的客户找过来。他们刚被勒索病毒锁了订单数据库，三天没法发货，损失超过两百万。技术负责人说，防火墙、杀毒软件、入侵检测都买了，还是没防住。我看了一眼他们的网络拓扑图——办公网和服

去年冬天，网络一家做跨境电商的安全客户找过来。他们刚被勒索病毒锁了订单数据库，项目三天没法发货，实施损失超过两百万。网络技术负责人说，安全防火墙、项目杀毒软件、实施入侵检测都买了，网络还是安全没防住。我看了一眼他们的项目网络拓扑图——办公网和服务器区之间只隔了一台老旧的硬件防火墙，规则还是实施五年前默认的。问题不在买了什么，网络而在怎么用。安全

网络安全项目的项目起点不是采购清单，是搞清楚你手里有什么、谁在用、哪里最疼。我们进场第一件事是资产测绘。别信IT部门给的表格，那东西往往停留在半年前。用扫描器跑一遍全网段，再配合流量镜像做被动识别，经常能挖出十几台没人管的测试服务器、三台忘记下线的旧OA、还有一台跑着Windows Server 2008的财务备份机。这些就是攻击者最喜欢的跳板。

边界防护要重新画线。很多公司把防火墙当路由器用，策略默认放行，只堵几个高危端口。正确的做法反过来——默认拒绝，按业务需求逐条放行。核心数据库只允许应用服务器访问，端口精确到3306，源IP锁死。办公网禁止直连服务器区，必须经过跳板机并录屏审计。无线网络单独划VLAN，访客Wi-Fi和员工内网物理隔离。这些操作不复杂，但需要耐心梳理业务流。我们通常花两周时间跟开发、运维、业务部门挨个确认，画出真实的流量矩阵。

终端这块最容易被忽视。员工笔记本带回家连了不干净的Wi-Fi，回来插上网线就是内网入口。方案里强制部署EDR，不是那种只杀毒的轻量版，要能记录进程链、网络连接、注册表修改。同时把本地管理员权限收掉，装软件走审批。有人抱怨效率低，但比起整个部门被钓鱼邮件一锅端，这点麻烦值得。去年有个案例，攻击者用一封伪装成客户询盘的邮件，附件是带宏的Excel，点开后EDR直接阻断并告警，因为该进程试图调用PowerShell下载远程脚本——正常办公不会这么干。

日志和响应是最后一道闸。很多公司买了SIEM但没人看，告警堆到几万条。我们建议先做最小闭环：关键服务器登录日志、防火墙拒绝记录、EDR高危事件，这三类集中采集。设置规则不要贪多，先盯住“非工作时间登录”“同一账号短时间多地登录”“大批量文件加密行为”。一旦触发，自动发短信给值班人，同时隔离受感染主机。这套流程跑顺了，再慢慢加规则。

预算分配上，别把钱全砸在高端防火墙。根据经验，终端EDR占30%，日志与响应平台占25%，边界策略梳理和内部微隔离占30%，剩下15%做员工钓鱼演练和应急培训。演练要真发钓鱼邮件，点开的人去会议室看半小时安全视频。第二次演练点击率通常从40%降到8%左右。技术手段管住机器，人的意识管住鼠标。

项目验收不看买了多少设备，看三个指标：从告警到隔离的平均时间是否低于15分钟；内部横向移动能否被微隔离阻断；员工上报可疑邮件的数量是否上升。最后一个指标最反直觉，但确实有效——当员工开始主动上报，说明防线真正前移了。