管航班和天气的那张网，圈得比想象中要紧

admin

运行网和办公网，本来不是一回事

有报道说，某国一家管航空交通和气象服务的机构，在支撑气象类空管业务的运行网里发现了恶意程序，还牵出数据被外传的迹象。这家机构的负责人对外说已经控制并清除，同时花钱请外部机构查清根源和范围。先不说别的。光运行网里发现这个，就值得所有做运维的人盯一眼。因为那张网，本来不该和办公网搅在一起。这条线，很多人是出事了才想起来看。

运行网，说白了就是让设备干活的那张网。信号灯、控制器、采集终端，它们关心的是准不准、稳不稳。办公网是另一套逻辑，邮箱、文档、浏览器什么都能上。两者混在一起，等于把最容易被点的东西，接到最不能停的地方。混着用，迟早出事。这条线要守住，别图省事。

为什么画不干净。一是历史遗留，早年布线图省事，一根线拉通，后来谁也说不清哪根是运行、哪根是办公。二是设备太老，很多生产设备压根不支持隔离，只能想办法绕。三是人图方便，运维在办公网上顺手点一下设备，觉得没什么。这一点，往往就是那条线最脆的地方。说到底，不是没人管，是没人肯为这条线明确担责任。线就是这么漏的。

生产设备不能随便更新，怎么办

运行网里的设备有个共性，动不得。它们往往整天不停，一停就影响业务。你打电话说这个周末要打补丁、要重启，对方第一反应是能不能不重启。这话没毛病。这不是他们不配合，是客观上真停不了。别拿办公网那套思路，硬套在运行网的设备上。这事儿绕不开。

先给它们分个级。能停的、只能短停的、完全不能停的，各走各的路。能停的正常打补丁；只能短停的，走夜间窗口，提前演练；完全不能停的，就只能靠外围。外围是什么意思，就是在它前面加一层检测和限制，让它自己不动，但外面替它挡。分好等级，后面才有的放矢。这套思路说白了，就是承认有些东西治不了根，那就围着它做文章，别指望一台老设备突然变得可管可控。

还有个笨功夫，就是把每台设备的信息补齐：型号、固件版本、谁维护、上次动是什么时候。特别是固件版本，很多单位从来没盘过。有的设备买来十年没更新过，还跑着当年的老固件。这些不是让你立刻全线升级，是让你心里有数，知道哪里最薄。这属于笨功夫。

不能停机的地方，怎么盯异常

不能停的地方，安全工作是另一种节奏。你不可能靠频繁重启来验证防护，也没法随便装个探针上去。剩下能做的就是看：看这台设备平时说什么、跟谁说话、什么时候说。行为的基线立起来，异常才有参照。没有基线，满屏都是正常。你什么也发现不了。所以前期最花时间的，不是装工具，是耐着性子把正常的样子描出来，描准了，后面才省心。

异常不是指它坏了，而是它变了。一台常年只连两个地址的控制器，突然开始连一个陌生地方。这就是信号。一个从不在深夜传数据的终端，凌晨突然往外发东西，也是信号。这些不用多高深的技术，靠的是有人盯着那张表，并且知道它原来长什么样。看的是变化，不是好坏。

难点在于人。看基线的活枯燥，还得三班倒。很多单位把这些告警一股脑丢给值班，值班看两眼就关了。真正管用的一步，是把关键设备的异常单独拉出来，只留少数几条规则，宁可漏一点，也别让值守的人被淹。规则少而准，比多而杂管用。别把人给淹了。值班表上写清谁盯哪几台，出了岔子才不用满世界问。责任落到具体的人，规矩才立得住。

外部服务和内部人员，两条线都要查

这起事还有个值得说的点：出问题的入口，未必都在自己院里。报道里提到，同一地区另有一个机场的事件疑似和内部人员有关，被并在一起查。这提醒做安全的，排查的时候不能只盯着自己的边界。入口未必都在院里。外面给你干活的人、能碰数据的人，都算进来查。

外部服务商这条线，常见的漏洞不在技术，在账。谁给他开了权限、过期了没有、离职了谁去收、他能不能从外面直连进来。这些在采购阶段往往写成一句话，落地的时候没人管。结果就是，一个早该结束的外包账号，还开着门。漏洞常出在账上。定期把这些账号过一遍，比查代码省事。把权限清单和人员名单放一起对，缺口一眼就出来了，对不上号的，先停。

内部人员这条线更难。技术手段能拦越权，拦不住本来就该有权限的人做超范围的事。所以能做的还是把最小权限做到位：给到刚好够用，用完就收；敏感操作两人复核；关键日志不能自己删自己。这几条听着老套，真做扎实的单位并不多。这条线最难查。

先把谁在什么网里画出来

落到实处，第一件事是把网络画清楚。哪张是办公、哪张是运行、谁在哪张、两张之间有哪些连接点。别指望一次画完。先把关键的画出来。画的时候你会发现很多没想到的连线，那些就是接下来要处理的。图画出来，很多问题自己就浮上来了。这一步不需要什么工具，一张表、一支笔就能开始，难的是肯花那个下午。

画完再做什么。把跨线的东西列出来，一条条问：这条非通不可吗、能不能收到某个地址、能不能只在某个时段开、谁能改它。大部分跨线连接其实都能收紧，只是过去没人问过。这个问题值得问。一条一条问下来，你会发现不少连接其实早就可以关，关掉就是收益。

最后留一句实在的，这类事平时看着离你远，真到自己头上，最先暴露的就是我不知道谁在什么网里。趁没出事的时候把图画出来，比事后翻半个月的记录省事得多。这活儿不讨喜，但它兜底。很多单位不缺技术，缺的是有人肯静下心，把自家那点家底先摸一遍。摸清了，遇事才不慌。真出事那天，你会谢谢今天的自己。