聚能集团
新闻资讯
19
2026
-
10
我在护网行动当“蓝军”：一个工程师的十四天
作者：
我在护网行动当“蓝军”：一个工程师的十四天
岗位： Java开发工程师 / 系统运维
时间： 2026年X月
开篇：从“写代码的”到“守阵地的”
今年夏天，我经历了一次身份切换。前半个月，我是抱着笔记本到处救火的Java开发和运维；后半个月，我成了一个叫“蓝队”的组织里的一名普通值守人员。
这个组织有一个广为人知的名字——护网行动。
简单来说，护网行动是由公安部牵头组织的国家级网络安全实战攻防演练。攻击方（红队）由各路渗透高手组成，对我们这些防守方（蓝队）的真实业务系统发起高强度模拟攻击。每年七到八月，全国金融、能源、政府、国企等单位都会进入这场没有硝烟的战争。
而我，作为一个平时跟Spring Boot和MySQL打交道的后端开发，因为负责着好几个系统的运维，被编入了公司的防守阵营。
护网前：不止是“把服务器关掉”
如果你以为护网就是那两周的事，就太天真了。真正的功夫，全在开打之前。
资产梳理是第一关。 我们花了整整三天，把负责的系统对外暴露的端口、服务、接口翻了个底朝天。哪些是必须开放的，哪些可以关掉的，哪些自己都忘了还在跑着的“僵尸服务”——统统拉出来过了一遍。用安全同事的话说：“你只有知道自己的房子有几扇门几扇窗，才谈得上看家护院。”
接着是漏洞清零。作为开发，我临时客串了一把“修复工程师”。漏扫报告里那一长串CVE编号，一个个去对：Spring框架的版本能不能升，依赖库有没有已知反序列化漏洞，接口的参数校验是不是形同虚设。
还有一个让我印象深刻的准备动作：收权限。远程VPN关了，非必要的出网请求断了，连一些内部管理后台都收敛到了最小访问范围。那种感觉就像，平时四通八达的大楼，忽然只留了一扇需要三道验证的小门。
值守日志：屏幕上的“寂静战场”
护网正式开始后，我的工作变成了轮班盯着几块屏幕。说实话，大部分时间什么都不会发生。没有告警，没有异常流量，安静得让人怀疑是不是设备坏了。
但安静不等于安全。
蓝队的日常是分层级的：一线监测盯告警，二线研判判断“这是误报还是真攻击”，三线处置负责封IP、清后门。我这种技术背景的，更多被放在研判和处置的辅助位置——当安全设备报出一个可疑请求时，我需要快速判断：这是正常的业务调用，还是有人正在尝试利用我们某个接口的漏洞？
有一个瞬间我记得很清楚。某天下午，一个针对登录接口的高频请求触发了告警。我看了一眼Payload，心里咯噔一下——那是典型的SQL注入尝试。虽然我们的代码用了预编译语句，大概率能挡住，但那种“有人正在试图撬你的门”的感觉，和平时写CRUD完全是两回事。
后来那个IP被处置组封了。我继续盯屏幕，等待下一个可能出现的异常。
一个开发工程师的护网反思
护网结束后，我复盘了一下自己的收获。有些事，是坐在开发工位上永远体会不到的。
第一，安全不是“加上去”的，是“长出来”的。 护网期间最怕的是什么？是那些平时觉得“应该没问题”的地方。比如一个忘了加@Valid的接口，一段用了字符串拼接的SQL，一个测试环境遗留下来的调试端点。攻防演练会把所有侥幸心理放大一百倍。
第二，运维视角的安全，和开发视角的安全是两个世界。 我平时更关心代码逻辑对不对、性能扛不扛得住。但护网让我意识到，一个系统在互联网上的“暴露面”——开放的端口、暴露的指纹、泄露的版本号——本身就是攻击的入口。后来我主动把几个系统的错误页面定制了一下，不再对外抛出堆栈信息。
第三，蓝队其实是最被低估的角色。 红队的光环属于那些“攻破系统”的人，但蓝队的价值在于让一切没有发生。零入侵、零事故的背后，是资产梳理、漏洞修复、策略收紧、7×24小时值守这一整套枯燥但扎实的工程。
尾声
护网结束了，我的日常又回到了写代码、修Bug、接运维电话的节奏。但有些习惯留下来了：上线前多看一眼依赖有没有已知漏洞，开端口之前多问一句“真的需要吗”，写接口的时候多想想“如果我是攻击者会怎么打”。
对于研发同学来说，网络安全可能只是安全团队的KPI。但这次护网让我觉得，每一个写代码的人，其实都是第一道防线。
门锁好了，比什么都有用。
