网络整改方案和整改措施

上周三凌晨两点，网络我蹲在机房盯着防火墙日志，整改一条异常外联记录反复出现——某台办公电脑每17分钟向一个境外IP发送512字节数据包。和整抓包分析后确认是改措某"免费WiFi共享"软件在后台偷传设备指纹。这不是网络孤例。过去三个月，整改我经手的和整六起数据泄露事件里，四起源于员工私自安装的改措"小工具"。网络整改不是网络写几份制度挂在墙上，得从这些具体漏洞撕开口子。整改

先拿边界开刀。和整多数单位的改措内网和外网之间只隔着一台老旧防火墙，规则库还是网络三年前的。我见过最离谱的整改配置：允许所有出站流量，只拦了几个已知恶意IP。和整整改第一步，把默认策略改成"拒绝所有，按需放行"。具体操作：梳理现有业务系统清单，每个系统标注需要的源IP、目的IP、端口、协议。财务系统只允许访问银行专线，人事系统禁止连接任何外部数据库。做完策略收紧后，某客户的内网异常外联告警从日均230条降到7条。

终端这块更头疼。员工嫌杀毒软件卡，偷偷卸载；为了传文件方便，私开远程桌面。我的做法是上EDR（端点检测与响应），但别指望一装就太平。得配合行为基线：正常办公电脑CPU占用率很少持续超过70%，内存不会突然暴涨到90%。一旦触发，自动断网并弹窗要求说明。上个月某设计院中招，一台机器半夜三点开始加密文件，EDR直接阻断进程，损失控制在三个文件夹内。事后查原因，是员工点了"发票明细"的钓鱼附件。

账号权限必须动真格。我见过太多"admin/123456"走天下。整改措施：强制启用多因素认证，但别搞太复杂——短信验证码加密码就行，别上硬件令牌，否则员工会把令牌锁抽屉里。权限按最小化原则重新分配：普通员工只能读写本部门共享盘，跨部门访问需在OA提交申请，审批通过后临时开通，24小时自动回收。有个客户照做后，发现某离职半年的员工账号还在活跃，顺藤摸瓜查出前技术主管私留后门。

日志审计别当摆设。很多单位买了日志系统，但没人看。我的建议：设置三类告警——非工作时间登录、批量文件下载、多次密码错误。告警直接推送到运维人员手机，别发邮件，没人天天查邮箱。某次半夜收到告警，某账号在凌晨1点下载了300份合同，打电话过去，对方说在加班整理投标资料。虽然虚惊一场，但总比真出事强。

最后说人。技术手段再全，挡不住有人把密码写在便利贴上贴显示器边框。每季度做一次钓鱼邮件演练，点开链接的扣绩效，但别公开批评。把网络安全纳入新员工入职考试，不及格的重考。我见过最有效的办法：让每个部门指定一名"安全联络员"，发现同事违规操作直接上报，奖励200元。钱不多，但比发红头文件管用。

整改不是一次性项目。我习惯每两周扫一次漏洞，每月更新一次防火墙规则，每季度做一次渗透测试。上次测试时，我用一个老旧打印机的默认口令进了内网，然后横向移动到财务服务器。报告交上去，领导脸都绿了。但这就是现实——你不动手，攻击者也会动手。区别在于，你提前发现漏洞，叫整改；攻击者先发现，叫事故。