上个月隔壁部门一台打印机被入侵，单位成了跳板机，网络整个内网被扫了一遍。整改这事之后，和整领导拍桌子要求整改。改措我牵头做的单位方案，下面直接说干了什么、网络怎么干的整改。

网络拓扑先动刀。和整原来所有部门都在一个扁平大网里，改措行政的单位电脑和财务的服务器互相能ping通，这本身就不合理。网络我们把网络切成三个区：办公区、整改服务器区、和整外联区。改措办公区只能访问服务器区的特定端口，外联区单独走一条线路给访客和测试机用。VLAN划分花了半天，交换机配置改到凌晨两点。切完之后，ARP欺骗攻击的告警直接降了七成。

边界防火墙的策略重新梳理了一遍。之前有条any-any的规则，是前任图省事留下的。删掉。现在只放行443、80和几个业务端口，出站也做了限制，禁止内网机器直接访问外网的高危端口。顺带把防火墙日志接到了一台闲置的服务器上，用Graylog做集中分析。第一周就抓到两台机器在往外发异常DNS请求，查下来是员工装了带后门的破解软件。

终端这块是最头疼的。三百多台电脑，补丁版本参差不齐。我们没上什么昂贵的EDR，先用WSUS强制推送了关键补丁，把Win7的机器全部断网隔离——还有二十多台在跑XP，直接报废换新。杀毒软件统一换成火绒企业版，后台能看全局状态。有个细节：行政部一台机器中了勒索病毒，因为文件服务器做了快照，半小时就恢复了，没影响业务。

账号权限也收紧了。域管理员密码之前是admin123，现在改成16位随机串，每季度换一次。普通员工账号禁止本地管理员权限，装软件走申请流程。IT部门自己也不例外，运维操作全部通过跳板机，操作录屏。有个老员工抱怨不方便，我让他看了打印机被入侵的日志，他闭嘴了。

无线网络单独处理。原来一个SSID走天下，访客和员工混用。现在拆成两个：员工用802.1X认证，访客用短信验证码，而且访客网络只能访问互联网，碰不到内网任何资源。AP的固件也升级了，默认密码全改。有个会议室AP被拆下来接在交换机上想绕过认证，交换机端口安全直接把它shutdown了。

备份策略重写。之前只备份数据库，文件服务器没管。现在用Veeam做整机备份，每天增量、每周全量，备份文件存到独立的NAS上，NAS不在域内，凭据单独管理。恢复演练做了一次，从裸机到业务上线，四十分钟。

整改完一个月，安全设备告警从每天几百条降到十几条，大部分还是误报。但我知道这不是终点。上周又发现一个老交换机不支持端口隔离，已经列入下季度更换计划。网络安全这事，没有一劳永逸，只有不断补漏。