凌晨两点十七分，网安运维老张在监控屏前打了个哈欠。整改屏幕右下角弹出一条红色告警——某台测试服务器被扫描到445端口开放。报告他骂了句脏话，网安端起凉透的整改咖啡灌了一口。这已经是报告本月第三次了。

整改通知下来的网安时候，我们其实早有预感。整改等保测评机构给出的报告报告里，高风险项列了七条，网安中风险十九条。整改最扎眼的报告一条是：核心业务系统使用弱口令，且三个月未强制修改。网安说真的整改，看到“admin/123456”出现在正式系统上，报告我第一反应不是愤怒，是羞愧。

整改的第一刀切在账号体系上。我们把所有系统管理员账号收归统一认证平台，强制绑定手机号和人脸识别。有个老系统是十年前外包写的，数据库里根本没有手机号字段。开发小李花了三天时间，写了个脚本把离职员工的账号全部冻结，又给在职人员逐个发短信确认。那几天他的工位上堆满了Red Bull罐子，键盘敲击声从早响到晚。

第二件事是网络分区。原来办公网和服务器区之间就隔着一台老旧防火墙，规则写得稀烂——any到any的放行就有十几条。安全工程师小王把拓扑图打印出来贴在白板上，用红笔圈出所有不合理的通路。他坚持要上零信任架构，但预算有限，最后折中方案是把所有东西向流量强制走堡垒机。改造那周，业务部门投诉不断，说访问速度慢了200毫秒。小王顶住压力没松口，后来在一次内部钓鱼邮件演练中，成功拦截了97%的恶意载荷，质疑声才小下去。

最磨人的是日志留存。合规要求日志保存不少于六个月，但旧系统日志格式混乱，时间戳用的是服务器本地时间，不同机器之间快慢能差五分钟。安全组的阿哲写了个解析程序，每天凌晨三点自动拉取各设备日志，统一转换成UTC格式再入库。他跟我抱怨过，说这活儿就像给一堆乱糟糟的毛线球重新绕线，绕错了还得重来。但两周后，当排查一起异常登录事件时，我们靠日志关联分析，五分钟内就锁定了入侵路径——这在以前根本不敢想。

整改期间出了个小插曲。某第三方合作商为了图省事，私自把一台测试机接入了办公网。第二天就被流量监控系统识别出异常外联，自动阻断并告警。对方项目经理还打电话来质问，说我们“管得太宽”。安全总监只回了一句：“你的机器连的是我的网，就得守我的规矩。”后来那家公司被列入供应商黑名单，合作终止。

三个月后复测，高风险项清零，中风险只剩两项。专家评审会上，组长问我们最大的改变是什么。我想了想说，不是上了多少设备，而是大家终于开始把安全当成日常的一部分。以前改个配置要审批三天，现在自动化巡检每天跑两轮；以前开会没人提安全，现在需求评审会上，产品经理会主动问“这个功能的数据流经哪些系统”。

当然，问题还是有的。比如老旧系统依然像定时炸弹，比如安全预算依然紧张，比如人员流动导致的知识断层。但至少，我们现在知道炸弹埋在哪，引信是什么样子，也备好了拆弹工具。下次凌晨两点的告警再响起来，老张应该不会只骂脏话了——他会先看日志，再决定要不要给值班经理打电话。