去年某制造企业内网被勒索病毒锁死，网络起因只是安全一个运维人员用弱口令的测试账号连了生产网。事后复盘，操作册攻击者从钓鱼邮件到横向移动，规程总共只用了四十分钟。和手这件事让我意识到，网络操作规程不是安全挂在墙上的装饰，而是操作册关键时候能救命的刹车片。

账号和权限：别让一把钥匙开所有门

很多团队图省事，规程给每个人开管理员权限。和手这相当于把公司大门钥匙复制给所有员工，网络丢了一把，安全全楼遭殃。操作册我的规程做法是，日常办公用普通账号，和手需要提权时走审批流程，临时授权不超过两小时。数据库账号更是要独立命名，禁止应用直连root。有个细节容易忽略：离职人员的账号回收往往拖到第二天，但攻击者可能当晚就利用旧凭证登录。所以，人事发离职通知的同时，IT必须同步禁用账号，这条得写进流程里。

密码管理：复杂度不是万能药

强制十二位大小写加符号，结果就是大家把密码写在便签上贴显示器。我见过最离谱的，密码是Company@2024，全公司通用。与其折磨用户，不如推行密码管理器加双因素认证。内部系统用SSO，重要操作再叠加短信或TOTP验证。另外，定期扫描弱口令，别等渗透测试才暴露问题。有个小技巧：在AD里设置密码黑名单，禁止使用公司名、季节加年份这类组合。

网络边界：防火墙不是摆设

默认拒绝，按需放行。这条规则听起来简单，执行起来常打折扣。开发要联调，随手开个0.0.0.0/0的入站规则，测试完忘了删。我习惯每周导出防火墙策略，对比基线配置，发现变更立即追溯。远程办公的VPN账号，必须绑定设备指纹，禁止同一账号多地登录。无线网络方面，访客WiFi和内部网络物理隔离，别用VLAN糊弄——VLAN hopping不是闹着玩的。

终端防护：别迷信杀毒软件

杀毒软件只能查已知威胁，对无文件攻击和供应链投毒基本失效。我的经验是，终端上开启应用白名单，只允许运行审批过的程序。U盘管控也得做，但别一刀切禁用，否则员工会用个人网盘绕过去。更实际的做法是：公司配发加密U盘，接入时自动扫描。补丁管理要分级，操作系统补丁两周内必须打，浏览器和办公软件每周检查。那些“补丁会搞崩业务系统”的借口，多半是没做测试环境。

日志与监控：别等出事才翻记录

日志留存至少六个月，这是底线。但光存不分析，等于没存。我见过一个案例，攻击者用PowerShell下载恶意脚本，命令行里明晃晃写着Invoke-WebRequest，可日志里这条记录被淹没了。后来我们调整策略，对可疑命令行、异常登录时间、大量文件加密行为做实时告警。SIEM不是大公司专利，开源方案加几个关键规则，也能拦住八成常见攻击。

应急响应：演练比预案重要

预案写得再漂亮，没演练过就是废纸。每季度做一次桌面推演，假设核心数据库被加密，谁负责隔离、谁联系备份、谁对外沟通。真实场景里，最耗时的往往是决策链——等领导拍板，黄花菜都凉了。所以提前授权：一线运维发现勒索病毒，有权直接断网，事后补报告。备份要遵循3-2-1原则，但别忘了定期恢复测试。我见过备份文件完好，恢复时发现数据库版本不兼容，白忙一场。

操作规程不是越厚越好。把关键动作拆成检查清单，贴在工位上，比一本三百页的手册管用。安全是持续对抗，不是一次达标。