确保单位局域网安全防止来自内网的黑客

去年秋天，确保全防一家不到五十人的单位的黑设计公司被自己的打印机“卖”了。攻击者没用什么零日漏洞，局域只是网安趁午休时连上了会议室那台常年不设密码的Wi-Fi，然后通过共享文件夹里的止自一个旧版Excel宏，摸到了财务电脑上的内网工资表。整个过程不到二十分钟。确保全防事后查日志，单位的黑那台打印机还兼着无线接入点的局域角色，密码是网安admin123。这事听起来离谱，止自但内网里这种“自己人打自己人”的内网戏码，几乎每天都在发生。确保全防

很多人一提局域网安全，单位的黑第一反应是局域防外网、装防火墙。可现实是，一旦攻击者进了内网——不管是物理接入、VPN账号泄露，还是钓鱼邮件里那个“同事”发来的压缩包——你那些边界设备基本就形同虚设了。内网里的信任关系太松了。共享文件夹默认所有人可读，远程桌面端口开着，服务账号密码写在便签上贴在显示器边框。这些不是技术缺陷，是管理习惯的溃堤。

我见过最典型的一个例子：某单位用统一镜像部署了所有办公电脑，本地管理员密码全一样。运维图省事，结果一台机器中了U盘病毒，病毒用那个密码横向扫了全网段，半小时后所有电脑的屏保都变成了勒索信息。你说这怪谁？怪病毒太聪明？不，怪我们把“方便”当成了默认配置。

内网黑客往往不需要多高的技术。他们只需要三样东西：一个能用的普通账号、一点耐心、再加上对人性弱点的利用。比如，你隔壁工位同事的电脑没锁屏，你走过去就能发一封“IT部要求重置密码”的假通知。或者，你发现内网某台测试服务器开着匿名FTP，里面存着半年前的员工通讯录。这些都不是漏洞扫描器能扫出来的，是日常操作留下的“后门”。

要堵这些口子，别指望一套昂贵的安全平台能一键解决。先从最土的办法开始：把内网按部门切成几个小段，财务和研发之间默认不通，需要访问就走申请。别嫌麻烦，这比事后查日志轻松得多。然后，关掉所有电脑的默认共享，禁用LLMNR和NetBIOS，这两玩意儿在内网里跟大喇叭没区别。再然后，给每台机器设一个不一样的本地管理员密码——可以用组策略批量改，不用人工一台台敲。

还有一点常被忽略：内网里的“僵尸账号”。离职员工的域账号没删，实习生用过的测试库权限没回收，这些账号就像留在门锁里的旧钥匙。我建议每季度做一次账号审计，重点查那些超过90天没登录但还启用的账户。别用工具自动跑，人工看一眼，经常能发现“某某前员工”还在某个项目组里挂着。

监控也别搞太复杂。内网流量里，最值得盯的是异常登录时间、非工作段的批量文件访问、以及同一账号从多台机器快速切换。这些信号不需要AI分析，一个简单的日志聚合加几条告警规则就能抓到。我自己的习惯是每天早上花五分钟扫一眼昨天的登录失败记录，连续失败三次以上的IP直接临时封掉。这比等SIEM出报告快得多。

最后说句实在的：内网安全拼的不是技术堆叠，是运维人员愿不愿意多走一步。你少图一次省事，攻击者就多一道坎。那个被打印机出卖的设计公司，后来把Wi-Fi密码改成了二十位随机串，共享文件夹按项目设了权限，还专门买了台便宜的有线打印机放在走廊。花了几百块，省了几十万的潜在损失。这账，谁都会算。