以前觉得终端安全管理是个挺虚的事儿。电脑发下去了，网插上了，杀毒软件也装了，还能出什么大乱子？后来连着栽了几个跟头才明白：杀毒软件管的是“外面的坏人”，管不住“自己人顺手改的一下”。
就那“一下”，能把整个IT台账搅成一锅粥。下面这五个教训，每一个都是我拍过大腿的，排名不分先后，疼的程度差不多。
有个业务骨干嫌网慢，自己把IP地址换了。换完也没吭声。半个月后审计要查一台机器的上网记录，我翻开台账，IP对得上，机器名也对得上，但坐那台工位上的人早就换了。
改IP这事儿，员工觉得是“调一下”，对我们来说是把审计链条的锚点给拔了。机器在系统里的“身份”对不上人，后面所有的日志、策略、追溯全跟着漂。
教训二：计算机名被人随手一敲，资产链断了比改IP更隐蔽的是改计算机名。财务一台电脑，被新来的实习生“整理桌面”时顺手改成了“财务小张的电脑”。原来的命名规则是“部门-编号-责任人”，这一改，资产台账对不上了，补丁分发策略也匹配不到那台机器。
计算机名不是个名字，是这台机器在管理端的唯一身份证。名字一乱，策略下发、资产盘点、故障定位全得靠猜。
教训三：注册表是普通员工的“后门钥匙”这一条最让我后怕。有个员工为了装一个来路不明的“效率工具”，自己进注册表把安全策略给改了。杀毒软件全程没吭声，因为注册表操作在它眼里不算“病毒行为”。等我们发现的时候，那台机器已经带着被关掉的管控跑了一个多月。
注册表、组策略、任务管理器这些入口，微软留给用户是方便运维的。但落到不该动的人手里，就是一键关掉管控的开关。普通账号手里握着本地管理员权限，上层下什么策略都是白搭。
教训四：控制面板一开，前面锁的全白锁我们最早的做法是“一条一条禁”：禁装软件、禁改网络、禁USB。结果漏了控制面板。员工从控制面板进去，七拐八绕，照样能把该关的关掉。就像你把前门锁了三道，人家从厨房窗户爬进来了。
后来才想通：控制面板、安全模式、计算机管理这些是“入口”，不是“功能”。 入口不收，单独锁哪个功能都是在打地鼠。把入口焊死之后，员工不是“不想绕”，是根本没有那条路可走。
教训五：性能日志没留，出事只能拍脑袋这条不疼，但憋屈。有一台设计部的机器动不动就卡死，IT跑过去看，CPU正常、内存正常，什么问题都查不出来。问员工最近装了什么、插了什么，一问三不知。没有性能检测日志，没有硬件变更记录，等于机器自己不说实话，我们全靠猜。
后来在软件里把性能日志和硬件变化记录一开，才发现是有人私接了一块外置网卡，驱动跟主板打架。日志一翻，时间点、设备型号、谁插的，清清楚楚。终端安全管理做到最后，比的不是拦了多少，是出事之后能不能倒查到“那一秒到底发生了什么”。
总结这五个坑趟下来，我的体会就一句话：别靠人自觉，靠入口锁死。每一件都是小事，每一件都能让管理端瞎掉一只眼。软件这东西，说到底就干了一件事：让机器自己管住自己，比人盯着人靠谱一万倍。
小编：小杨
