07.md

第七章：网路架构远比你想像的重要

使用者说的话不仅不能尽信。甚至是使用者在 email 里面传来的连结与档案都不能点开。

这年头木马非常多。举个例好了，常见的攻击手法是先诱骗客服，点击信里面的连结，然后为该电脑种下木马。

然后该木马再行监听办公室里面网路的封包，搜集可用信息。比如，公司里面有哪些人的名单。谁的业务大概是怎么样的。

解决方案一：办公室网路规划

如果你开设需要高防的互联网项目。第一时间要做的几个方向。

办公室网路一定要安全，隔离网段与基地台。

举例来说，客服的网路肯定是要跟实际运营的团队分离的。

运营团队与技术团队的网路也要是分离的。

技术部网路的无线网路只能透过密钥连上，无法在 public 频段里面找到。

钱包工程师甚至是自己一条网路专线。

这是避免一旦客服端沦陷，办公室里面整个通信也一次沦陷。

解决方案二：机器群组规划

所有在线服务的机器，一律不准直接对外。前面至少得有 Load Balancer。

只有公共服务的机器可以用 public 域名。比如说 facebook.com 的内部用服务，就不能叫 internal.facebook.com。可能叫 i.fb.cc 此类的。

避免有哪一些机器，下个 dig 就直接全被挖出来。

更重要的机器甚至是不能用真域名，只能用 /etc/hosts 直连还要锁 VPN。

解决方案三：使用虚拟机

有一些客服团队的架构设计，甚至不允许使用实体电脑。

而是使用远端连线虚拟机，只能用远端的虚拟机连上客服后台管理。

下班之后这些虚拟机直接 reset 掉。

解决方案四：设立 Policy 与加强员工训练

一个公司里面的员工肯定资安知识与安防程度是会有巨大落差的。

你不能强求客服能与程序员有一样的安防知识。

所以，你能下手的有几块：

1. 培训客服有基本的资安防护知识
2. 教育客服「行为白名单」。比如说客户只能透过站上对话与客服进行交流，严禁私自交换微信。不能点击用户传来的任何连结。不能点开 email 里面的各种连结，等等。

总结：

这里总结一下你现在可以主动做的事：

1. 你的办公室网路是如何规划的？你有哪些员工会一天到晚收到客户传来的档案与连结？他们存取的网路 policy 又是如何？
2. 你的公司的内部服务器是任何人都可以从公开网路上存取吗？
3. 你们对于技术人员的网路有分层以及强制上 VPN 及 2FA 吗？
4. 你的公司客服有面对客户行为的白名单吗？