国家网络安全通报中心

2024年3月，网络国家网络安全通报中心发布了一则关于某境外黑客组织攻击我国某能源企业的安全通报。通报里写得很细：攻击者利用了一个尚未公开的通报VPN漏洞，在凌晨三点十七分潜入内网，中心横向移动了四台服务器，网络最后在数据库里埋了一个加密锁。安全这不是通报电影情节，是中心真实发生的。通报中心的网络人告诉我，这类事件他们每周要处理十几起，安全只是通报大多数不对外公开。

很多人第一次听说“国家网络安全通报中心”这个名字，中心会以为它是网络个政策研究机构。实际上它更像一个全天候运转的安全“网络急诊室”。它的通报核心职能就三件事：监测、通报、处置。监测靠的是分布在各地的流量探针和威胁情报节点，通报是向受影响单位发预警，处置则是协调技术力量去“灭火”。一位在中心工作了六年的工程师打了个比方：我们就像网络空间的119，只不过火警电话是自动响的，而且经常同时响几十个。

这个中心不直接抓人。它的通报对象主要是关键信息基础设施运营者——电网、银行、铁路、医院、政务云。2023年全年，中心向这些单位发送了超过两万份通报，平均每天五十多份。其中大约三成是高危漏洞，比如某国产数据库的未授权访问漏洞，攻击者可以绕过密码直接读取数据。剩下的是僵尸网络、钓鱼邮件、网页篡改这类“常规病”。

有意思的是，通报中心发的通报分“红、橙、黄、蓝”四个等级。红色最急，要求两小时内响应。我见过一份红色通报，正文只有三行字，附了一个IP地址和一个文件哈希值。收件单位的运维人员说，看到红色通报，手会抖。因为那意味着攻击已经发生了，不是“可能发生”。

中心内部有个“威胁狩猎”小组，专门主动去找那些还没被发现的攻击。他们不依赖厂商的规则库，而是自己写脚本去分析流量里的异常心跳。有一次，他们发现某省级政务云每天凌晨四点会向一个南美IP发送512字节的数据包，持续了三个月。追下去才发现，是一个被遗忘的测试接口被植入了后门。这种活儿靠机器告警做不了，得靠人盯着屏幕看波形图。

通报中心不只有技术员。里面有十几个学法律和传播的年轻人，负责把技术通报“翻译”成管理层看得懂的语言。比如“CVE-2024-XXXX”要写成“攻击者可以远程控制你们的服务器”，再配上一句“建议立即断网排查”。他们管这叫“说人话”。一位翻译岗的姑娘说，最怕遇到那种“漏洞利用复杂度高”的通报，因为领导看完会问：那到底要不要管？

公众对通报中心几乎无感。它没有对外网站，不开发布会，连公众号都没有。但如果你在某家银行突然取不了钱，或者某天政务App打不开，背后可能就有通报中心的人在连夜协调。他们的工作成果就是“什么都没发生”。这种“无感”恰恰是最大的成功。一位老员工说，我们最怕上新闻，上了新闻说明出大事了。

去年中心搬了新办公区，墙上贴了一句话：“看见别人看不见的，挡住别人挡不住的。”没有落款。问是谁写的，没人承认。但每个路过的人都会看一眼。