网盾行动工作总结汇报

6月12日凌晨两点，网盾值班室电话响了。行动某医院HIS系统遭遇勒索病毒攻击，工作门诊挂号、总结缴费、汇报取药全线瘫痪。网盾我们用了47分钟完成隔离、行动溯源、工作恢复，总结但急诊科已经积压了三十多号病人。汇报这件事让我彻底明白，网盾网盾行动不是行动搞搞演练、填填报表就能交差的工作。

今年上半年，总结网盾行动共处置安全事件136起，汇报其中勒索病毒占四成，数据泄露占三成，剩下的是DDoS和网页篡改。数字看着不大，但每一起背后都是真金白银的损失和实实在在的业务中断。有家连锁药店被攻击后，全省两百多家门店的医保结算停了整整一个上午，损失保守估计在八十万以上。

我们复盘了这些案例，发现一个扎心的事实：七成以上的攻击入口，都是弱口令和未修复的已知漏洞。某区政务平台被攻破，原因竟然是运维人员图省事，把测试环境的admin密码设成了“123456”，而且这个测试环境跟生产环境是通的。攻防演练的时候，红队只用了不到十分钟就拿到了核心数据库权限。说实话，这种低级错误年年讲、年年有，光靠发通知、搞培训，根本摁不住。

所以今年网盾行动换了打法。不再搞大呼隆式的集中检查，改成“不打招呼、直插现场”。技术团队随机抽取单位，直接远程扫描、渗透测试，发现问题当场通报，限期整改，到期复查。某局第一次被抽中时，扫描报告出了两百多条高危漏洞，局长脸都绿了。两周后复查，修复率到了97%。这种压力传导，比开十次会都管用。

另一个变化是，我们把威胁情报共享做起来了。以前各家单位被攻击了，自己闷头处理，处理完就完了。现在要求一小时内上报IOC指标，我们汇总后同步给所有成员单位。上个月某高校被钓鱼邮件攻击，我们拿到样本后十分钟内提取了恶意域名和IP，推送给全省教育系统，当天就拦住了另外七起同类攻击。这个效率，放在以前不敢想。

但问题也不少。基层技术力量薄弱是老毛病了，很多单位就一两个兼职人员，既要管网络又要修电脑，根本顾不过来。我们尝试推托管式安全服务，由我们出人出设备，单位出场地和基本经费，目前已经有二十三家单位签了协议。效果还在观察，但至少比让他们自己硬扛要靠谱。

下半年重点抓两件事。一是把供应链安全管起来，今年好几起事件都是第三方运维人员带入的，这块必须立规矩。二是搞实战化对抗，不设脚本、不划范围，真刀真枪打，打完了再复盘改进。网盾行动搞了三年，该从“有没有”转向“好不好”了。

说到底，安全这事没有一劳永逸。今天堵住的漏洞，明天可能又被绕过。我们能做的，就是比攻击者多想一步、快走一步。凌晨两点的电话，希望越少越好。