内容摘要：四川移动业务支撑网4A安全门户上个月又拦了一次异常登录。凌晨两点，一个来自外省IP的账号试图用离职员工工号访问BOSS系统，三次密码错误后触发锁定，安全门户自动向值班人员推送了告警短信。这事没几个人知

四川移动业务支撑网4A安全门户上个月又拦了一次异常登录。川移撑网凌晨两点，动业一个来自外省IP的全门账号试图用离职员工工号访问BOSS系统，三次密码错误后触发锁定，川移撑网安全门户自动向值班人员推送了告警短信。动业这事没几个人知道，全门但正是川移撑网这种日常拦截，撑住了四川移动每月数亿条计费话单的动业安全底线。

4A指的全门是认证、账号、川移撑网授权、动业审计。全门这四个词拆开看都懂，川移撑网合在一起就是动业一套管人的系统。四川移动这套门户管着两万多个账号，全门从营业厅前台到省公司运维，每个人进业务支撑网之前都得先过这道门。账号不是员工自己注册的，是HR系统同步过来的，人一入职账号就有了，人一离职账号自动冻结。省公司信息安全部的老张跟我说过一句话：“以前是各系统各管各的账号，一个人离职三个月了，某个老系统里还能登录。现在4A门户一卡，谁也别想蒙混过关。”

认证环节比大多数人想的要细。普通营业员用短信验证码加密码就行，但涉及用户敏感数据的操作，比如批量查询号码归属或修改套餐，就得插U盾。更狠的是运维人员，登录核心数据库前要过三道：静态密码、动态令牌、还有一次人脸识别。去年有个地市公司的技术员想偷懒，把动态令牌借给同事代操作，结果人脸识别那关卡住了，系统直接记了一次违规。这事后来在内部通报里被点名，没人再敢借令牌。

授权这块最有意思。四川移动的4A门户不是简单给个角色就完事，它把权限切成了“功能权限”和“数据权限”两层。功能权限决定你能点哪些菜单，数据权限决定你能看谁的数据。一个成都的营业厅店长，能查成都用户的账单，但查不了绵阳的。这种颗粒度靠人工配根本配不过来，门户里跑了一套自动化策略引擎，根据组织架构和岗位自动生成权限包。新员工入职当天权限就配好了，调岗时权限跟着变，不用挨个系统去改。

审计模块是事后算账的。所有操作日志实时同步到门户，保留180天。省公司审计部每季度会跑一次异常行为分析，比如某个账号在非工作时间频繁查询高价值用户，或者同一IP短时间登录多个账号。去年他们发现一个代理商的账号总是在凌晨批量查询号码状态，追下去发现是有人拿它做外挂抢号。账号被封，代理商被罚，线索移交给了公安。

这套门户不是没毛病。地市公司的同事抱怨过，U盾驱动在Win10上偶尔抽风，得重装。还有一次系统升级后，部分老营业厅的IE浏览器不兼容，折腾了两天才恢复。但说实话，比起以前各系统账号满天飞的日子，现在至少知道谁在什么时候动了什么数据。安全这东西，平时感觉不到，出事的时候才知道有没有用。四川移动这套4A门户，就是那种平时不吭声、出事时能兜住底的东西。