内容摘要：2023年秋天，某省级政务云平台被攻破。攻击者没用什么零日漏洞，也没买通内鬼。他们只是从一家地市级单位的后勤部门入手——那台连着内网又连着互联网的打印机，固件三年没更新。 这事听起来像段子，但它是真的

2023年秋天，什防某省级政务云平台被攻破。被跨攻击者没用什么零日漏洞，网入也没买通内鬼。什防他们只是被跨从一家地市级单位的后勤部门入手——那台连着内网又连着互联网的打印机，固件三年没更新。网入

这事听起来像段子，什防但它是被跨真的。我后来跟做等保测评的网入朋友聊起来，他一点都不惊讶。什防他说你去看任何一家稍微大点的被跨单位，防火墙、网入IPS、什防WAF摆得整整齐齐，被跨可你顺着网线摸到机房角落，网入十有八九能找到一台设备，双网卡，一边连内网一边连4G路由器，管理员图省事，远程维护用的。

这就是跨网入侵最讽刺的地方：你花几百万建的边界防御，挡不住一个两百块的USB网卡。

所谓“跨网入侵”，核心不是技术多高明，而是利用网络隔离的缝隙。物理隔离、逻辑隔离、air gap——这些词听着很硬，实际落地时全是人操作出来的洞。我见过最离谱的一个案例，某军工研究所，内网和外网之间确实物理断开了，但有个工程师为了传文件方便，在两边各插了一个蓝牙适配器。蓝牙的覆盖范围是十米，他的工位到对面工位正好八米。这个“无线网桥”跑了整整两年，直到审计时才发现。

那什么防线最容易被跨？答案可能反直觉：不是没有防火墙的系统，而是那些“以为自己隔离了”的系统。

纯内网、纯离线，反而安全。因为没指望，所以人老实。怕的是半隔离——有防火墙，但开了几个端口；有网闸，但配了白名单；有VPN，但用的是弱口令。这种“假隔离”给了管理员虚假的安全感，该做的审计不做了，该查的日志不查了。攻击者只要找到一个被遗忘的接口，整条防线就像拉链一样滑开。

2021年Colonial Pipeline被勒索，起因就是一个废弃的VPN账号没注销。那个账号属于一个离职半年的员工，密码还是公司名加123。攻击者用它进了内网，然后横向移动，最后把输油管道的控制系统锁了。整件事里，技术漏洞几乎为零，全是管理上的“跨网缝隙”。

还有一种跨网，不靠网络，靠人。U盘、手机充电线、甚至键盘记录器。我认识一个红队成员，他进客户办公楼的方式是应聘保洁。拖地拖到服务器机房门口，趁没人进去插了个BadUSB，三秒钟，内网就对他敞开了。你问他突破了什么防线？没有防线。物理隔离在人的面前就是一层纸。

所以回到标题的问题：什么防线可被跨网入侵？我的观察是，凡是需要“人”来维持的防线，都容易被跨。防火墙规则要人写，网闸策略要人配，U盘管控要人执行。只要有一个环节的人图省事、走捷径、或者单纯忘了，跨网就发生了。

那怎么办？别信“隔离”这个词。信审计。信最小权限。信“任何设备都可能被污染”。我见过一个做得不错的单位，他们的做法很土：所有跨网数据交换必须走一个中间机，中间机只装一个只读文件系统，每次传完数据就重装。麻烦，但有效。因为攻击者没法在一个每次归零的系统上留后门。

说到底，跨网入侵不是攻破了什么高级防线，而是找到了你忘了关的那扇门。门可能是一台打印机，一个蓝牙适配器，一个离职员工的账号，或者一个保洁阿姨手里的U盘。防线从来不是被“跨”过去的，是被“绕”过去的。而绕过去的路径，永远在人觉得“应该没事”的地方。