内网违规外联案例

一台连着内网的测试机，网线还插在交换机上，违规外联无线网卡却悄悄连了隔壁会议室的案例访客WiFi。这台机器同时踩着两条船，内网一条通内网核心数据库，违规外联一条通互联网。案例运维发现它的内网时候，它已经这样跑了整整四天。违规外联

这事发生在去年秋天，案例一家做零部件制造的内网企业。信息中心的违规外联老周跟我聊起来还直摇头。他说那台机器是案例产线调试用的，工程师为了方便远程查资料，内网顺手开了无线。违规外联没人觉得这是案例个事，直到安全设备在出口流量里抓到一条异常DNS请求——目标域名是某网盘。内网机器往网盘传东西，这本身就不正常。顺着IP一查，就是那台双网卡机器。老周说，幸亏只是传了些测试日志，要是图纸或者工艺参数出去了，后果不敢想。

违规外联这事，说白了就是内网设备以任何形式连上了互联网，或者两个不同安全域的网络被私自打通。形式五花八门：双网卡、无线热点、手机USB共享、4G/5G模块、甚至串口转以太网。最要命的是，干这事的人往往不觉得自己在违规。他们的理由很统一——“就查个资料”“就传个文件”“就临时用一下”。

但安全边界不是橡皮筋。内网之所以叫内网，是因为它假设外部不可信。一台机器开了外联，就等于在城墙上凿了个洞。攻击者不需要正面突破防火墙，只要盯住这个洞就行。更麻烦的是，这种洞通常没有日志、没有告警、没有责任人。老周说他们后来排查，发现那台机器连WiFi的密码是12345678，会议室路由器也是默认口令。等于说，那个洞还挂着“欢迎光临”的牌子。

技术手段其实不难。终端准入、端口安全、802.1X、网络行为管理，都能拦。难的是人。老周后来在机房门口贴了张纸，写着“私接外网=砸自己饭碗”。他说这话糙，但比任何制度都管用。因为违规外联的根子不在技术，在侥幸心理。每个人都觉得“我就用一下，不会那么巧被发现”。可安全事件从来都是“巧了”才叫事件。

还有个细节挺有意思。老周查那台机器的时候，发现工程师在浏览器里存了一堆技术论坛的账号密码。他图方便，让浏览器记住了。如果那台机器中了窃密木马，这些账号就是第一批牺牲品。而内网很多系统还在用同样的密码。一个点的疏忽，能串起一整条攻击链。

所以现在他们单位定了条死规矩：任何设备接入内网，必须过准入系统。无线网卡物理禁用，USB口封胶。听起来极端，但老周说，比起事后写报告、做溯源、被约谈，这点麻烦根本不算什么。

违规外联的案例看多了，会发现一个规律：出事的地方，往往不是最核心的机房，而是边缘的测试机、调试本、维护终端。这些机器游离在资产管理之外，没人管、没人查、没人负责。它们就像内网身上的盲肠，平时没感觉，发炎了才要命。

最后说个数据。某安全厂商去年统计了三百多起内网违规外联事件，其中七成以上是内部人员主动为之，目的排第一的是“图方便”。你看，打败安全的从来不是多高明的攻击，就是一句“图方便”。