176号令要求上网行为可溯源，内网横向攻击要如何避免？

企业网络安全中，有一种风险往往容易被忽视：员工点击钓鱼链接后，攻击者进入一台办公电脑，却可能借助内网互通继续扫描其他终端，尝试访问文件服务器、业务系统甚至生产设备。等到异常被发现，受到影响的可能已经不止一台设备。

2026年10月1日起施行的公安部令第176号《公安机关网络空间安全监督检查办法》，将用户注册信息和上网日志记录留存、网络攻击与网络侵入防范、漏洞隐患整改等列入监督检查重点。对企业而言，这意味着网络安全不能只停留在“出了问题再查日志”，还要考虑能否识别异常行为、限制越权访问，并尽可能缩小攻击影响范围。

那么，如何让上网行为可追溯，同时避免攻击者利用内网互通横向扩散？关键在于把身份管理、网络隔离、访问控制和安全审计结合起来。

一、企业内网横向攻击，主要难在哪里？

1. 有上网记录，却无法完整还原访问链路

部分企业已经部署了上网行为管理或日志审计设备，但不同系统之间缺乏关联。日志可能记录了某个IP地址访问外部网站，却无法快速对应到具体终端、接入端口和使用者；如果终端IP发生变化，或者设备共用账号，事件排查就会更加困难。

真正有效的溯源，需要结合用户身份、终端信息、IP地址、访问时间及相关网络日志，尽可能还原行为发生的过程。日志本身也需要具备完整性，并按照适用规定做好留存和查询管理。

2. 内网默认互通，给攻击扩散留下空间

办公电脑、访客终端、监控设备、门禁系统和业务服务器如果处于缺乏有效边界控制的网络环境中，一台终端感染恶意程序后，就可能尝试扫描其他设备，利用弱口令、未修复漏洞或过度开放的服务继续渗透。

这类风险并不是简单增加带宽或更换交换设备就能解决的。网络内部如果缺少必要的访问边界，即使外网入口部署了防火墙，攻击进入内网后仍可能沿着可达链路继续扩散。

3. 终端接入缺少约束，非法设备难以及时发现

企业网络中的打印机、摄像头、门禁控制器等设备，可能不具备完整的安全防护能力。如果网络端口长期开放，未登记的电脑或其他设备就有机会接入网络。部分哑终端无法安装安全客户端，也容易成为管理盲区。

因此，企业既要管控谁能够使用网络，也要明确哪些设备可以接入、能够访问哪些资源，避免“接入内网就默认可信”。

二、智慧光迅如何从网络架构上降低横向攻击风险？

1. 通过全光网络分区隔离，减少攻击可达范围

针对办公、访客、监控、门禁及生产业务等不同场景，企业可以结合实际业务关系，规划独立的网络区域，并通过 VLAN 划分、访问策略和必要的安全边界控制不同区域之间的通信。

需要注意的是，VLAN 划分并不等于所有安全风险都已消除。对于跨区域访问，还应结合防火墙策略、访问控制规则等措施，明确允许通信的对象和端口，减少不必要的横向访问路径。

2. 强化终端准入，让未知设备不能随意接入

对于办公电脑，可根据企业实际条件实施身份认证与终端准入管理；对于摄像头、门禁控制器等不便安装客户端的哑终端，可采用适配其能力的接入认证、端口绑定和专属网络分区方式，减少设备被私自替换或随意接入的风险。

同时，企业应定期核查终端台账，及时处理离职人员账号、闲置端口和未经授权的设备。只有把终端身份与接入权限结合起来，才能降低攻击者利用陌生设备进入内网的机会。

3. 将身份认证与最小权限结合，阻断越权访问

智慧光迅可结合身份认证、网络分区和访问策略，对不同用户及终端实施差异化权限管理。例如，普通办公终端只开放工作所需的业务访问，访客终端不能访问内部管理系统，设备维护人员也应仅在授权范围内访问指定设备。

对于重要业务系统，还应结合系统自身的身份认证、权限

管理及安全防护措施，避免仅依靠网络隔离来承担全部安全责任。通过缩小访问权限，即使某个终端被攻陷，也能减少攻击者继续横向移动的空间。

4. 打通日志审计与网络运维，提升事件追溯效率

在网络架构层面，可以结合网关日志、认证记录、终端接入信息及安全设备告警，帮助运维人员关联异常时间、访问地址、相关终端和网络区域。发现某台设备出现异常连接后，可进一步核查其访问路径、相关业务资源及其他可疑终端，及时采取隔离、封禁或策略调整等措施。

智慧光迅的全光网络管理与运维能力，也可为设备状态查看、接入关系排查和故障定位提供支持。需要明确的是，网络拓扑和运维记录不能替代专业安全检测，但能够帮助管理人员更快厘清网络结构，缩短排查链路。

5. 以通密一体为网络底座，兼顾连接能力与安全建设

随着企业办公、监控和生产业务不断增加，网络既要承载更多终端和数据流量，也要为身份认证、区域隔离及安全审计提供稳定的基础条件。

智慧光迅通密一体方案以全光为底座、音视频为引擎、安全为护盾，将防火墙功能原生集成在梦想网关中，不再是网络与安全两套独立设备堆叠。

具备IPS、WAF、AV防病毒等能力对区域间流量进行精细化过滤，拦截恶意访问，从网络边界遏制内网横向渗透。方案围绕网络连接与安全需求协同规划，在全光网络建设中兼顾业务承载、接入管理和安全防护。对于园区及生产场景，还可以根据距离、供电和业务部署要求，评估光电复合缆等方案的适用性，降低远端设备部署与维护的复杂度。

面对176号令提出的网络安全相关要求，企业不应只检查日志是否存在，还应同时审视日志能否查询、终端能否识别、网络是否分区，以及异常访问能否及时处置。

智慧光迅以全光网络为基础，结合终端准入、业务隔离、访问控制与运维管理，帮助企业逐步建立更清晰的网络边界。对于横向攻击而言，真正有效的防护不是寄希望于攻击永远不会发生，而是让未经授权的设备难以进入，让被攻陷的终端无法随意访问其他区域，并在异常出现时保留足够的线索用于调查和整改。

当网络架构、访问权限和审计机制形成配合，企业才能同时提升上网行为可追溯能力与内网横向攻击防护水平，让安全管理从单纯记录行为，进一步走向控制风险。

FAQ

Q：内网业务访问的日志也要留存吗？

A：需要。176号令明确将核查范围从外网访问扩大到内网业务访问、文件外发、网盘上传等场景。员工在内网访问了哪些业务系统、通过邮件外发了哪些文件，都属于需要留存和可追溯的范围。

Q：内网横向攻击的痕迹，全光网能追溯到具体的人吗？

A：可以。全光网中每台终端的上线时间、MAC地址、IP地址、流量数据全部记录，终端接入行为与认证信息通过底层会话绑定技术原生关联。发现异常访问行为后，可以立即定位到具体的接入端口、终端MAC地址和认证账号。

Q：日志存了但查不出来，算合规吗？

A：不算。176号令要求的是“可审计、可取证的完整证据链”，日志不仅要存，还要能按账号、时间段或接入位置快速筛选导出。智慧光迅方案支持一键导出统一报表，公安检查时可当场调取。