黑客无需攻破防火墙：当入侵者用员工自己的账户登录

快速回答

• 现代黑客往往根本不攻破防火墙——在许多入侵事件中，攻击者直接用一个被窃取的合法账户登录内网：VPN 账户、Microsoft 365 账户或管理员账户。
• 防火墙按策略控制流量，无法核实一条被允许的连接背后的人是否真的是员工本人。
• 一个被窃取的账户是起点，而不是终点：从一次通过钓鱼被盗走的登录会话出发，只要权限过宽、内网缺乏分段，攻击者就能提权并横向移动。
• 企业应立即排查的五件事：管控特权账户；使用抗钓鱼的 MFA（FIDO2/Passkey）；实施真正的网络分段；管理服务账户；监控登录后的行为。
• 核心原则是纵深防御（Defense in Depth）与零信任（Zero Trust）：让系统设计成单个失误——一名员工点错链接、一个账户泄露——不至于拖垮整个基础设施。

什么是身份安全？

身份安全（Identity Security）是保护 IT 系统中用户、应用程序与服务的账户、密码、登录会话和访问权限的一整套措施。随着基础设施日益开放——员工通过 VPN 远程办公、邮件与应用迁移到 Microsoft 365 等云服务——身份成为“新的安全边界”：谁能证明自己持有一个合法账户，系统就放行，无论这个人实际身在何处。

为什么黑客不需要越过防火墙？

设想一家企业在网络边界上投入到位：新一代防火墙、许可证齐全，IPS、防病毒、Web 过滤、应用控制全部开启。控制台一片绿色，每天拦截成千上万次可疑访问，管理层放心，IT 团队也放心。

直到某天，攻击者出现在内网里。没有来自互联网的攻击告警，没有人“攻破”防火墙，也没有声势浩大的 DDoS。只有一条记录：某个 VPN 账户在凌晨 2 点成功登录——用户名合法、密码正确、MFA 也已确认。系统开了门，因为在防火墙看来，这是一条被允许的连接。

这个示意性故事揭示了传统网络设计中曾经非常普遍的一个假设：外部不可信，内部是安全的。这个假设已经站不住脚。当一个 VPN 账户被夺取，或者一台内网电脑感染恶意软件时，攻击者就从系统已经授权的位置开始活动。他不需要从外部击败防火墙——他走的正是防火墙被配置为允许的那些连接。

防火墙能防住被窃取的账户吗？

答案是：只能防住一部分。防火墙仍然是网络边界不可或缺的一层——过滤流量、阻断未授权连接、记录日志。但必须认清它的边界：

防火墙按策略控制流量。它无法保证通过一条被允许连接的每一个操作，都出自合法用户之手。

换句话说，防火墙像查验证件的门卫：证件有效就放行。如果攻击者手持真正的“证件”——员工真实的账户和登录会话——门卫没有理由拒绝。剩下的工作属于大门之后的各层管控：身份管理、权限控制、网络分段与行为监控。

一个员工账户被窃取，能有多危险？

以一家约 500 名员工的典型企业为例：Active Directory 管理全部账户，员工通过 VPN 远程办公，各部门共用文件服务器，ERP 软件连接数据库，应用服务器位于各自的 VLAN 中。

某天，财务人员收到一封钓鱼邮件，要求“重新确认 Microsoft 365 账户”。员工点击链接、输入账号、确认 MFA——但那个登录页面是假的，属于一种能够窃取身份验证会话的钓鱼攻击。攻击者拿到了一个有效的登录会话，而真实密码究竟在哪里泄露的，可能都无人知晓。

这里必须强调一个技术要点：拿下 Microsoft 365 账户，并不等于自动能登录 VPN 或内网的 Active Directory。这取决于身份架构、账户同步机制、单点登录（SSO）、访问权限以及已部署的各层防护。但只要系统里存在薄弱的连通点——多系统共用同一密码、权限过宽、特权账户管控缺失——一个被窃取的账户就会成为扩大入侵的跳板。被窃取的账户可以是攻击的起点，而不必然是终点。

域管理员和服务账户的风险有多大？

如果员工账户是“普通钥匙”，那么在 Windows/Active Directory 环境中，还有两种危险得多的“钥匙”：

Domain Admin——万能钥匙。 在许多环境里，技术人员曾经用域管理员账户做所有事：装软件、加域、远程工作站、配置服务器，甚至登录用户电脑只为修一台打印机。确实方便——一个账户几乎能做一切。但一旦这类特权凭据泄露，后果可能是全公司范围的：修改组策略、新建特权账户、影响域内所有计算机或破坏关键服务。一个被滥用的管理员账户，能把一台工作站的事件变成整个系统的危机。

服务账户——被遗忘的备用钥匙。 这类账户用于运行 SQL 服务、支撑 ERP 应用、执行自动化任务或做系统间集成。不少服务账户创建于多年前：密码几乎从不更换、没有明确负责人、权限远超实际需要，甚至一个账户被多个服务共用。等到排查时，没人敢改密码——因为没人知道改完哪个应用会“死掉”。因此身份管理不只是员工账户的事：机器、应用和服务同样拥有身份、权限和生命周期，需要被管理起来。

账户类型	典型风险	应采取的管控措施
员工账户	钓鱼窃取密码或登录会话	抗钓鱼 MFA、识别假邮件培训、设备与会话管控
VPN 账户	被窃取后直接进入内网，多在非工作时间	强 MFA、限制 VPN 登录后可达的系统范围、异常登录告警
域管理员（Domain Admin）	一旦泄露即失去整个域的控制权	管理员账户与日常账户分离、PAM、即时授权（Just-in-Time）、最小权限原则
服务账户	多年不变的静态密码、无负责人、权限过高	全面清点并指定负责人、审查权限、优先 gMSA 或密钥保管库、清理闲置账户

企业应如何阻止攻击者在登录后继续深入？

与其只想着再买安全设备，企业更应先从排查以下五件事入手：

第一，管控特权账户。 将管理员账户与日常办公账户分离，限制在不受信工作站上使用特权登录，并酌情采用特权访问管理（PAM）、按需临时授权（Just-in-Time Access）与最小权限原则。

第二，MFA 要足够强。 短信或普通推送式 MFA 在某些钓鱼手法面前仍可能被利用，典型的是窃取登录会话的攻击。对重要账户，应优先采用 FIDO2 安全密钥或 Passkey 等抗钓鱼方式，并同时管控登录会话、设备与异常验证信号。

第三，真正的网络分段。 划分 VLAN 并不等于安全的网络分段：如果各 VLAN 之间仍可通过过宽的策略自由互通，划分只剩下组织意义。必须明确管控用户区（User）、服务器区（Server）、管理区（Management）、备份区（Backup）等区域之间的连接流。

第四，管理服务账户。 清点全部服务账户、确定负责人、审查权限、清理不再使用的账户，优先采用 gMSA 或合适的密钥管理机制，而不是让静态密码存续多年。

第五，监控登录后的行为。 某账户凌晨 2 点成功登录，本身不足以断定发生了攻击。但如果该账户突然访问大量服务器、修改特权组、做出历史上从未出现过的操作，系统必须能够发现并告警。安全不应止步于登录界面。

零信任与纵深防御在现实中意味着什么？

上面这则故事最大的启示是：安全不能只依赖每个员工的小心谨慎。不可能要求数百名员工永远、绝对不点错一个链接；不可能指望每位技术人员永不犯错；也不可能相信每个账户永远安全。

系统应当被设计成：单个失误不至于轻易拖垮整个基础设施：

• 一名员工被钓鱼，不应意味着黑客掌控整个域。
• 一台电脑感染恶意软件，不应自动就能访问备份系统。
• 一个 VPN 账户被窃取，不应拥有在整个内网畅行的权限。
• 一个管理员账户泄露，不应成为所有防护层的终点。

这就是纵深防御与零信任（默认不信任）的实际意义：不是堆砌更多设备，而是构建多层相互独立的管控，让一层失效时，其余各层仍有机会阻止或限制损失。每个 IT 团队都应能回答一个问题：如果明天黑客用一个合法账户成功登录你的企业，系统还剩哪几层防护能拦住他继续深入？ 如果答案只有“我们不是有防火墙吗”，那就到了重新审视安全架构的时候——因为有时候，黑客不需要破门而入，他只需要一把我们自己不小心丢掉的钥匙。而最可怕的并不是他进来了，而是进来之后，几乎再没有几扇门能让他停下。

常见问题

已经有强防火墙了，企业还需要关心账户安全吗？ 需要。防火墙在网络边界拦截未授权连接，但分不清真实用户和正在使用被窃取合法账户的攻击者。身份安全是必备的补充层，而不是可选项。

短信或推送式 MFA 够安全吗？ 并不完全够。某些现代钓鱼攻击即使在用户确认 MFA 之后，也能窃取整个登录会话。对重要账户，应使用 FIDO2 密钥或 Passkey 等抗钓鱼方式，并结合设备与会话管控。

划分 VLAN 就算完成网络分段了吗？ 不一定。如果 VLAN 之间仍允许大范围互通，分段只是组织形式。真正的分段必须配合具体策略，逐条管控用户、服务器、管理与备份区域之间的连接流。

什么是服务账户？为什么它是被遗忘的风险？ 服务账户用于运行服务、应用或自动化任务。它们危险在于：密码常年不变、没有明确负责人、权限高于实际需要——是一把攻击者非常想找到的“备用钥匙”。

如何发现攻击者正在使用合法账户？ 靠监控登录后的行为：非工作时间的异常登录、突然访问大量陌生系统、修改特权组、出现该账户历史上从未有过的操作。这些信号需要被监控系统及时记录并告警。

---

来源：Dũng Nguyễn 于 2026 年 11 月 3 日在 Facebook“Digital SArch 社区”群组发表的文章《当安全不再只是 IT 的事——#03：黑客无需攻破防火墙，有时他用员工自己的账户登录》。原文中的情境为说明性内容，用于阐释身份与访问管理风险。