防守赢得冠军：为何网络安全是一项团队运动

世界杯来了。

2026年。美国、墨西哥、加拿大。如果你曾在淘汰赛期间站在体育场里，或和真的在乎的人一起观看过一场比赛，你就会知道再没有什么能与之相提并论。你正在看着22名球员在实时对战中做出转瞬即逝的决定，同时也明白：整场比赛可能就会因为你没看到的某一个瞬间而瞬间改写。

你大概已经看出来了，我是个球迷。更准确地说，我不只是球迷。我是教练。没错，教练是教 9岁以下的足球（或大家通常说的 football）队，但不管怎样，我确实是教练。扯远了。

我的意思是，我经常想到足球。而我越是回想这个夏天，就越会不断想起同一件事：足球和网络安全，其实是同一场比赛。

在球场上，你要守护自己的队色、队伍和队徽。至于安全领域，你要守护你的数据、你的员工/人员，以及你的组织。站在外面看，风险似乎天差地别。但当你在凌晨两点盯着一份泄露通知时，这些感受就会变得一样。

在开球之前建立

足球之所以能作为安全的隐喻，是因为背后的逻辑是相同的：防守是在攻击之前就建立起来的，而不是在攻击发生后才被组装出来。这就是阵型的作用：它是团队在开球之前为了抵御来自对手的压力、并推动自己向前而在策略上打造的形态。

强力的防守队伍不仅会对攻击做出反应；他们会在球到达之前就封堵空间。这样的阵型会压缩进攻通道、消除空隙，并让攻击选项变得可预测。

这就是为什么即使是最优秀的任意球专家，在防守处于最有序、最严密的时候，也很少能在定位球中得分。相反，大多数进球都来自转接的瞬间——比如当控球权易手，而阵型还来不及恢复时。此时，防线的空隙就会暴露出来，并被利用。不是因为你的防守球员不够优秀，而是因为他们的阵型被打乱了。

安全架构同样如此。访问控制、最小特权策略以及配置基线，并不是在遭到攻击之后才作为反应去“补上”的东西。它们是你的防守阵型。而这个阵型会被自身的“转接”所检验，比如新员工被开通了超过其实际需要的访问权限、离职流程被拖延了数周，或在身份环境尚未完成整合与对齐之前就已经完成了并购。这些时刻就是你的阵型处在两种状态之间的阶段，而攻击者正是在寻找这样的窗口。

足球和安全都属于对抗性的环境，在这里往往是时机比力量更占优势。对方教练团队会在比赛前研究防守倾向，以判断何时会暴露出弱点，而安全领域的攻击者也同样如此。他们会在采取行动之前先“读懂”你的环境。最先发现漏洞的人就占据优势。

不幸的是，大多数组织甚至都不知道自己的阵型是什么。

告诉我，这话是否听起来很熟悉。你买了一个凭据金库，接上了 EDR，叠加了一些 PAM，然后又引入了一个 DLP 工具， 但只有在 审计发现出来之后。每次新增产品，都是对当季度“哪里着火了”就补哪里。原因在于：从来没有人把你叫到一旁，郑重地说：“好吧，这就是你的阵型。”

于是你就会得到我们在几乎每次客户交流中看到的结果：聪明的人、不错的工具，以及球场上有些位置却无人覆盖。

发生了漏洞入侵，并不意味着你的团队很差。你的队员里甚至有些人非常出色。问题在于：你守住了场地的一边，却把另一边留空了。

阵型

在足球里，阵型会影响一切。4-3-3 的球队和 3-5-2 的球队，踢出的完全是两种不同的比赛。虽然是同样的十一名球员，但姿态完全不同。

就安全而言，我认为合适的阵型是 4-3-3 的防守变体。下面看看它长什么样：

在凭证（credentials）上配置守门员。后防四人组，给你最需要的纵深：端点行为（endpoint behavior）、最小权限（least privilege），以及可能让数据溜进去的那些渠道。中场三人，用来读取访问风险、跟踪变更，并保持目录的干净。再加上前场一线，用于治理身份（identity）并审计每一个动作；平台则充当组织核心（playmaker）：在数据与身份之间实现统一可视性，让你在威胁发展之前就能先看到场上情况。

同一个阵型，没有任何空隙。这覆盖了你环境中的整个身份（identity）与数据侧——也就是大多数攻击进入的地方。

我希望你们做的事

既然我们都在关注世界杯，我想请你花几分钟，像足球教练一样思考。拿出一张纸。以你上面看到的阵型为参考，梳理你安全堆栈（security stack）里的每个工具到底在保护什么。对自己的薄弱环节要诚实。

这就是你开始全面审视自身风险态势的方式。你会发现那些无人覆盖的盲点。而一旦看见它，你就能开始着手修复。

如果你想看到完整的布局——每一个位置、每一个威胁场景，以及对每一项原则的更详细解释——请前往我们的 Security XI page。

7月14日，Netwrix 首席执行官 Grady Summers 以及前 USMNT 队长 Claudio Reyna 将举办一场网络研讨会，并在现场带你完整走一遍。带上你最棘手的问题。团队正指望着这一点。

在此注册

后防线可以撑住 90 分钟，却仍可能在伤停补时阶段因为一次任务分配的疏漏而失守。你可能拥有最闪亮的工具，但只要有一个小地方没有被监控，就仍然可能被入侵。

防守赢得冠军，并不是因为它比进攻更炫目。恰恰相反。防守之所以取胜，是因为它是一套系统——覆盖每一个位置，让每位队员都清楚自己确切负责的任务。你的安全计划也应该与此无异。