去年某汽车零部件厂的内网产线突然停了四个小时。原因不是安全设备故障，是防护勒索病毒把工控系统的数据库锁了。IT部门查了一圈，内网发现病毒入口竟然是安全一个车间统计员用的U盘——那台电脑同时连着内网和一台老旧的打印服务器，而打印服务器的防护补丁还停留在2019年。这事听起来离谱，内网但干过内网运维的安全人都懂：边界防火墙再厚，里面往往千疮百孔。防护

很多人把内网安全等同于“装个杀毒软件、内网配个防火墙策略”。安全我见过一家设计院，防护终端防护软件覆盖率100%，内网结果渗透测试时，安全测试人员用弱口令登进一台测试服务器，防护然后横向跳到财务系统只花了七分钟。问题出在哪？内网默认信任。同一网段里的机器互相访问几乎不设防，一台失陷，全盘皆输。

零信任喊了好几年，落地到内网，核心就一句话：别信任何设备，只认身份和权限。具体怎么做？微隔离是个实在的抓手。把内网切成小格子，数据库只允许应用服务器访问，应用服务器只允许前端调，其余一律拒绝。某券商去年就这么干了，把两千多台虚机按业务分成四十多个安全组，结果一次挖矿木马爆发，只影响了一个组里的三台机器，没扩散出去。

但微隔离有个坑：策略太细，运维会疯。我见过一个团队写了八百多条规则，最后没人敢改，因为不知道哪条会断掉业务。所以起步阶段别贪多，先把最关键的数据库和域控锁死，再慢慢细化。工具选型上，能跟现有CMDB联动的优先，否则手工维护IP列表就是灾难。

说到域控，这是内网里最要命的东西。拿到域管权限，等于拿到整个内网的钥匙。去年有个案例，攻击者通过一个没打补丁的打印后台漏洞拿到普通域用户，然后用Kerberoasting抓了服务账号的哈希，离线爆破出密码，最后DCSync拉走了所有域内哈希。整个过程没触发任何告警，因为流量全是正常的Kerberos协议。防御手段其实不复杂：服务账号密码设成30位以上随机字符，开启AES加密，监控异常DCSync请求。可惜很多企业连域管账号还在用“Admin@123”。

终端这块，EDR比传统杀软有用得多。传统杀软靠特征库，遇到无文件攻击或者Living-off-the-Land技巧基本瞎。EDR能记录进程链、网络连接、注册表改动，事后溯源方便。有个客户中了Emotet，EDR直接标出了恶意宏调用的PowerShell命令和后续下载的C2地址，十分钟就隔离了。不过EDR的告警量很大，没专人看等于白买。小团队可以先用Sysmon加开源规则，成本低，效果也不差。

还有一点容易被忽略：内网里的老旧系统。Windows Server 2008、CentOS 6、甚至XP，这些机器往往跑着关键业务，但补丁早停了。怎么办？能隔离就隔离，单独划个VLAN，只开必要的端口，前面加个跳板机做访问控制。实在不行，用主机防火墙把入站规则卡死，只放行特定IP。别指望它们能升级，很多工控软件换个系统就崩。

最后说个反直觉的：内网安全最大的敌人不是黑客，是内部人员的便利性需求。业务部门要共享文件夹，随手就开Everyone读写；开发要调试，直接关掉防火墙；运维图省事，用同一个本地管理员密码装遍所有机器。这些操作单看都没啥，叠在一起就是攻击者的高速公路。所以策略得硬，但沟通得软——把风险翻译成业务语言，比如“这个共享开着，财务数据可能被离职员工拷走”，比讲CVE编号管用得多。

内网安全没有银弹。它是一堆琐碎工作的集合：补丁、权限、隔离、监控、还有反复跟人解释为什么不能图方便。但每做好一点，攻击者的成本就高一点。多数勒索团伙不会死磕一个 hardened 的内网，他们会去找下一个软柿子。

(责任编辑：热点)