去年某省级医院遭勒索软件攻击，网络挂号系统瘫痪四小时，防御攻击入口是技术一台没打补丁的旧服务器。事后复盘，包括真正挡住后续横向渗透的网络，是防御网络分段和流量监测——这两样东西平时没人在意，出事时才显出价值。技术网络防御从来不是包括单点技术，而是网络一层套一层的冗余设计。

防火墙是防御最老的那道墙。包过滤防火墙看IP和端口，技术状态检测防火墙记住连接状态，包括下一代防火墙干脆把应用识别、网络入侵防御、防御URL过滤全塞进去。技术但防火墙有个致命盲区：它管不住内部人员。我见过一家公司防火墙规则写得漂亮，结果运维把数据库端口直接映射到公网，等于墙上开了扇后门。

入侵检测和入侵防御常被放一起说，角色其实不同。IDS像监控摄像头，发现异常就报警；IPS像保安，直接拦人。部署位置也有讲究——IDS旁路监听不影响流量，IPS串接在链路里，一旦误判可能断网。某次攻防演练，红队用加密C2通道绕过了IPS的特征匹配，蓝队靠流量基线分析才抓到异常心跳包。这说明签名检测不是万能的。

端点安全这几年变化最大。传统杀毒靠病毒库比对，现在EDR记录进程调用链、注册表修改、网络连接，用行为分析抓未知威胁。某银行终端中了无文件攻击，恶意代码只活在内存里，杀毒软件扫不到。EDR回溯发现PowerShell调用了可疑的远程脚本，直接终止进程并隔离主机。

身份认证是另一个战场。密码早就靠不住了，多因素认证（MFA）成了标配。但MFA也有坑——短信验证码能被SIM卡劫持，推送认证可能被疲劳轰炸。FIDO2安全密钥走的是硬件加密，钓鱼网站拿不到有效凭证。谷歌2017年内部全面部署安全密钥后，员工账号被盗事件归零。

加密技术贯穿防御体系。TLS保护传输，AES保护存储，同态加密让数据在加密状态下被计算。但加密不是银弹。某次渗透测试，攻击者没破解加密，而是从内存里dump出了密钥。密钥管理比加密算法本身更容易出问题。

欺骗防御算是个新思路。蜜罐、蜜令牌、虚假目录，故意暴露给攻击者。某互联网公司在内网放了20个蜜罐，三个月抓到三起内部扫描行为。攻击者以为在探测真实资产，其实全程被记录。这种技术不直接阻断攻击，但能争取时间、收集情报。

零信任架构把上述技术串起来。不再区分内外网，每次访问都验证。Google的BeyondCorp项目跑了十年，员工在咖啡馆和办公室访问内部系统走同样的认证流程。微隔离把数据中心切成小块，一台机器被攻陷不等于全网沦陷。

安全运营中心是这些技术的指挥中枢。SIEM收集日志，SOAR编排响应，威胁情报喂给检测规则。但工具堆砌不等于安全。我见过SOC买了十几种产品，告警每天上万条，分析师根本看不过来。真正有效的SOC得做告警降噪和自动化编排，把人力留给真正的异常。

网络防御没有终点。攻击者永远在找最短路径，防御者只能不断加高短板。技术是工具，流程和人才是黏合剂。那家医院后来上了微隔离和EDR，但院长问的最多的问题还是：“下次再来，我们能撑多久？”没人能给出确定答案。