去年11月，企业我们一台财务用的网络文件服务器被加密了。攻击者没用什么高级漏洞，安全就是整改通过一个离职半年还没删的VPN账号，用弱密码撞库进来的报告。凌晨三点，和整服务器上的改措共享盘全被锁死，屏幕上跳出一行俄文勒索信息。企业这事不复杂，网络但暴露的安全问题够典型——账号管理形同虚设，日志没人看，整改备份和主机放在同一网络里。报告事后复盘，和整我拉了近三个月的改措登录日志，发现攻击者提前两周就开始试探，企业每天试几十次，愣是没触发任何告警。
问题摆在那，整改就得动真格。我们分了三条线走：先堵最要命的窟窿，再补日常运维的漏洞，最后动架构。
账号这块，当天就把所有离职人员账号全清了，一共揪出17个“僵尸号”，最长的离职两年多还在域里。接着强制启用多因素认证，先从VPN和邮箱下手，再推到核心业务系统。密码策略从“8位含大小写”改成“12位+定期更换+禁止复用最近5次”。用户抱怨肯定有，但比起被锁文件，抱怨几句不算什么。特权账号单独拎出来，运维人员用堡垒机登录，操作全程录屏，谁在几点改了哪台机器的配置，日志里清清楚楚。
日志和监控是第二个痛点。以前Syslog收上来就堆在磁盘里，没人看。现在上了个轻量级SIEM，把防火墙、域控、VPN、核心服务器的日志都接进去，设了几条硬规则：非工作时间登录、同一账号短时间多地登录、大量文件重命名或删除——触发任何一条，短信直接发到值班手机。上线第二周就抓到一次异常：一个销售账号凌晨两点从新加坡IP登录，本人还在国内睡觉。电话打过去，他说刚在酒店连了公共WiFi收邮件，账号密码可能被嗅探了。立刻强制改密，封了那个IP段。
备份策略也推倒重来。原来每天全备一次，备份盘和主机在同一个VLAN，真出事一起完蛋。现在改成“3-2-1”：三份副本，两种介质，一份离线放机房保险柜。关键数据库每四小时增量备份一次，备份完自动校验完整性。上个月做了一次恢复演练，从离线盘恢复整个文件服务器用了不到两小时，比预期快。但发现一个问题——部分旧版加密软件和恢复后的系统不兼容，又花了一下午重新配。这种事不实际练一遍根本想不到。
网络架构调整最麻烦，牵扯到业务连续性。我们先把核心业务区和管理区做了微隔离，防火墙策略从“默认放通”改成“默认拒绝”，一条条加白名单。财务、人事、研发各划各的VLAN，跨区访问必须走审批。无线网单独隔离，访客网络和员工网络物理分开。做完这些，内部扫描发现横向移动的难度大了很多——以前一台机器被控，十分钟能摸到数据库，现在连隔壁网段都跳不过去。
还有个容易被忽略的点：人的习惯。我们搞了两次钓鱼邮件演练，第一次点开率23%，第二次降到7%。但有个同事在第二次演练后跑来问我：“我知道那是假的，但万一真是客户发的合同呢？”这问题问得挺好。安全措施再严，业务不能停。后来我们定了个规矩：任何涉及转账、附件、链接的邮件，拿不准就截图发安全群，有人帮你看。不罚款，不通报，就是问。效果反而比硬堵好。
整改到现在快半年，没再出过勒索事件。但我知道这事没完。上个月又发现一个新问题：某台老旧的打印服务器还在跑Windows Server 2008，厂商早不更新了，只能先把它从核心网段踢出去，单独放隔离区。安全这活儿，就是一边修墙一边发现墙上的裂缝。修得多了，至少知道裂缝大概会出现在哪。