防止内网渗透

去年某省级政务云平台被攻破，防止攻击者用的内网不是什么零日漏洞，而是渗透一个运维人员留在内网跳板机上的SSH私钥。拿到私钥那一刻，防止整个内网就像一间没锁门的内网仓库。这事后来在安全圈传开，渗透很多人第一反应是防止"运维背锅"，但真正的内网问题在于：内网从来就不该被默认为"安全区"。

太多团队把防火墙当成护城河，渗透外网严防死守，防止内网却跑着明文传输的内网数据库密码、共享着弱口令的渗透域控账号、堆着几年没打过补丁的防止Windows Server 2008。攻击者一旦突破边界——哪怕只是内网通过一封钓鱼邮件拿到一台办公PC的权限——接下来就是散步时间。横向移动、渗透提权、抓取域管哈希，整套流程用现成工具半小时能跑完。

内网渗透的常见入口，比你想的要多

钓鱼邮件仍然排第一，但形式早就不止"附件.exe"了。去年出现大量利用钉钉、企业微信伪造通知的案例，点进去是个OAuth授权页面，授权完攻击者直接拿到你企业应用的访问令牌。还有供应链投毒——某财务软件升级包被篡改，装完就在内网自动扫描445端口。

弱口令和复用口令是另一个重灾区。我见过一家公司，域管理员密码和WiFi密码一样，而WiFi密码贴在茶水间墙上。攻击者连密码爆破都省了，直接连WiFi进内网。更隐蔽的是"影子IT"：市场部自己搭的NAS、开发自己开的测试数据库，不在资产管理清单里，没打补丁，没接监控，成了完美的落脚点。

防御的核心思路：假设内网已经被渗透

这个思路转变很关键。别再问"怎么防止攻击者进来"，要问"攻击者进来后能走多远"。

第一件事是管住凭据。域管理员账号绝对不能用来登录普通工作站，这是铁律。微软的LAPS方案能自动轮换本地管理员密码，成本不高，效果立竿见影。服务账号的权限要最小化，别给数据库服务账号域管权限，这种懒省事的配置我见过太多。

第二件事是网络分段。不是VLAN划分就完事了，要用微隔离。生产环境、办公环境、测试环境之间默认拒绝，按需放行。攻击者从办公PC横向到生产数据库，中间应该隔着至少三道需要不同凭据的关卡。具体工具像Calico、Cilium这些，配合Kubernetes网络策略，比传统防火墙灵活得多。

第三件事是日志和检测。内网渗透会留下大量异常行为：非工作时间登录、同一账号短时间从不同IP登录、大量445端口扫描。这些日志要集中收集，用Sigma规则做关联分析。别指望人工看SIEM告警，得自动化。开源方案像Wazuh加Elastic Stack，小团队也能搭起来。

几个容易被忽略的细节

打印机。对，打印机。很多打印机支持LDAP认证，配置里存着域账号密码，而且固件常年不更新。攻击者拿到打印机配置就能提取凭据。还有IP电话、门禁系统、监控摄像头——这些IoT设备往往跑着老版本Linux，默认密码改都没改。

备份系统也要隔离。勒索软件现在流行先删备份再加密生产数据。备份服务器不能和域环境用同一套认证，最好用独立的物理网络和专用账号。

最后说个观察：很多公司买了EDR、NDR、XDR，但内网还是裸奔。工具堆砌不等于防御有效。先把基础做好——补丁管理、凭据隔离、网络分段、日志留存。这些不花钱或者花小钱的事做到位，比买一堆高级设备管用得多。攻击者也是挑软柿子捏，你比隔壁公司难啃，他就换目标了。