凌晨三点，企业运维老张的内部手机震了十七下。不是网络老婆查岗，是安全防火墙日志刷屏——某台财务部的旧电脑正疯狂向外发包，每秒三千次的防护连接请求直指海外IP。这场景我太熟了，工作企业内网最脆弱的机制从来不是技术，是企业人。那台电脑的内部主人昨天刚点开过“年终奖发放明细.exe”。

我们公司的网络防护机制，第一条铁律就是安全“不信任内网”。办公区Wi-Fi和服务器区物理隔离，防护访客网络独立VLAN，工作连打印机都单独划了网段。机制有人嫌麻烦，企业抱怨刷脸进门还要二次认证。可去年隔壁公司被勒索病毒一锅端，就是因为行政小妹用同一个U盘插了内网和外网电脑。现在没人抱怨了，U盘口全被物理封死，要用文件走内部加密传输系统，慢是慢点，但至少不会让整个公司三天没法开工。

光有隔离不够，得让攻击者进得来出不去。我们在核心数据库前架了三层网关，每层规则不同。第一层拦扫描，第二层拦漏洞利用，第三层盯着行为——比如半夜两点有人批量下载客户资料，系统自动冻结账号并给安全组发警报。这套机制上个月真拦住了一次钓鱼攻击，黑客拿到了某主管的VPN账号，刚摸到第二层就被识别出异常时间登录，强制下线加改密，前后不到四分钟。

人始终是最大的变量。每季度我们搞一次钓鱼邮件演练，专门设计些看着就像“领导发来的转账指令”的骗局。第一次演练中招率百分之四十三，现在降到百分之九。不是员工变聪明了，是演练后必须看五分钟真实案例视频——那种财务被冒充老板骗走八十万的新闻，比任何培训PPT都管用。有位老会计说，她现在看到任何带链接的邮件都先打电话确认，连儿子发的学校通知都不例外。

技术手段再强，也架不住物理攻击。上个月保洁阿姨在茶水间捡到个U盘，插到自己手机充电器上想看看是不是同事丢的——那U盘里其实藏着伪装成照片的远控木马。幸好我们提前在门禁系统里装了USB管控驱动，U盘一插入就自动隔离沙箱，木马还没来得及运行就被粉碎了。事后阿姨一脸后怕：“我还以为就是个普通U盘呢。”从那以后，所有外来存储设备都得先过安检机，跟机场查行李一个标准。

最容易被忽视的是供应链。上季度我们审计一家外包维护商的服务器，发现他们用默认密码“admin123”管着我们的监控系统接口。当场勒令整改，对方技术主管还觉得小题大做。结果两周后，另一家同行因为外包商的漏洞被拖库，几十万条客户信息挂在暗网上卖。现在合同里明确写了：不满足安全审计标准，直接终止合作，罚款另算。

这套机制运行下来，最直观的变化是安全事件从“救火”变成了“防火”。以前平均每月两次中招，现在半年未必有一次。但别误会，防护不是追求零风险，那不可能。我们追求的是让攻击成本大于收益——你花三个月攻破我，只能拿到一堆脱敏的假数据，而真正的核心资料，连我都不知道它具体存在哪个加密柜里。老张现在半夜手机响，多半是演练通知，他翻个身继续睡，嘟囔一句：“明天再处理，反正跑不了。”