凌晨三点，网安值班室的大队电话响了。某医院HIS系统被勒索病毒锁死，工作挂号、职责收费、网安病历全部停摆。大队我们赶到现场时，工作信息科的职责人正对着屏幕上一串比特币地址发愣。这不是网安电影情节，是大队网安大队每季度都会遇到的常规警情。

网安大队不是工作坐在办公室里喝茶看监控的。我们的职责工作从物理世界延伸到数据空间，从一块硬盘的网安取证到跨省追查一个虚拟身份。有人觉得我们像黑客，大队有人觉得像警察，工作其实更像是一群在数字废墟里找脚印的人。

网络犯罪侦查：从一条线索到一整个链条

去年有个案子，辖区连续发生冒充领导诈骗。受害人都是企业财务，被骗金额从几十万到上百万不等。线索只有几个微信号和一张银行卡。我们顺着资金流查下去，发现卡在福建龙岩被取现，取现的人戴着口罩，但ATM机旁边的便利店监控拍到了他买烟。就靠这个，锁定了第一个嫌疑人。然后往上挖，发现背后是一个为境外诈骗集团提供洗钱服务的团伙，再往上，是提供公民个人信息的数据贩子。一个案子，最后打掉四个层级。

这类案子没有报案人配合根本没法查。但很多受害人觉得丢人，不愿意细说。我们得反复做工作，有时候还得帮他们回忆聊天记录里的细节——哪个标点符号不对，哪句话的语气突然变了。这些细节往往就是突破口。

电子数据取证：硬盘里的真相

刑侦队抓了个命案嫌疑人，手机被恢复出厂设置了。送到我们这儿，先做物理镜像，再用专业工具做数据恢复。微信聊天记录删了，但数据库的碎片还在；照片删了，缩略图缓存还在。最后恢复了三万多条记录，其中一条是嫌疑人案发后发给朋友的语音：“我好像把事情搞大了。”这条语音成了关键证据。

取证这活儿，技术是一方面，更重要的是规范。提取过程要录像，哈希值要校验，证据链要完整。法庭上辩护律师会盯着每一个环节问，稍有不慎证据就废了。我们大队有个规矩：宁可多花两小时做备份，也不让一份证据在法庭上被质疑。

网络安全监管：把门看好，比抓人更重要

辖区有三百多家网站，两千多个联网单位。我们定期扫描漏洞，发整改通知。有的单位嫌烦，觉得我们没事找事。去年一家物业公司的门禁系统被攻破，业主信息全泄露，我们提前三个月就发过漏洞预警，他们没当回事。事后老板来大队道歉，说早知道就改了。这种“早知道”我们听得太多。

重点单位的核心系统，我们要求必须做等保测评。有的医院嫌贵，一套测评下来十几万。我跟院长算过账：一次勒索病毒，停诊一天损失多少？数据泄露被罚多少？后来他们做了，第二年就挡住了一次针对性攻击。

舆情处置与反诈宣传：跑在谣言前面

网上传“某小区人贩子偷小孩”，两小时转发过万。我们一边找首发者，一边调监控核实。结果是小孩自己走丢了，被好心人送到派出所。找到首发者是个宝妈，她说在业主群看到别人发的，没核实就转发了。批评教育，让她在群里澄清。这种事几乎每周都有。

反诈宣传我们试过发传单、搞讲座，效果一般。后来拍短视频，用本地话讲本地案例，播放量反而高。有个大爷看完视频来大队报案，说接到冒充公检法的电话，想起我们视频里说的“警察不会电话办案”，直接挂了。这种反馈比破个大案还让人高兴。

网安大队的办公室永远亮着灯。电脑屏幕上跳动着数据流，电话随时可能响起。我们不是万能的，很多新型犯罪手段也在摸索。但有一点是确定的：只要数据还在，痕迹就抹不掉。那些藏在屏幕后面的人，总会在某个节点留下破绽。我们要做的，就是找到它。