一插就能上网的随身WiFi，把企业网络打了个“洞”

先讲个真实场景。一家企业的IT主管做例行检查，在内网行为审计里发现一台终端有陌生的外联流量，追过去一看：某个部门为了“开会投屏方便”，从网上买了个随身WiFi插在办公电脑上——几十块钱的东西，插上就有4G/5G信号，绕开公司所有网络管控，内网里那台装着核心资料的电脑，直接裸连公网。

这不是个例。随身WiFi、随身路由、手机开热点共享给电脑，这三种玩法现在特别流行，而它们共同的问题是：在企业的网络边界上，悄悄开了一个谁都不知道的洞。

为什么这几十块钱的东西这么危险？

第一，它让所有网络侧防护失效。企业花钱做的上网行为管理、防火墙策略、外联审计，都是守着“公司网络出口”这一道门的。终端自己开了条4G通道出去，等于绕过城门翻墙走了——你在这边查得再细，那边的流量一根毛都看不见。

第二，它给勒索病毒开了直通车。员工图省事插个随身WiFi下载软件，下载的是不是带毒的“破解版”，没人知道。更麻烦的是这类小设备出厂固件安全质量参差不齐，弱密码、老漏洞一大堆，本身就是个暴露在公网的可疑节点。

第三，出了事根本查不到。公司网络出口的日志里不会有这台设备的任何记录，真发生数据外泄，你连“数据是从哪条路走的”都还原不了，取证难度直接翻倍。

第四，隐蔽性极强。USB随身WiFi没有网线、没有天线，比私接路由器更难发现。等IT一台台机器去摸排，效率低还容易漏。

上邦的堵法：发现、阻断、疏导，三步走

第一步，先把私接通道“照出来”。靠人工排查不现实。上邦的终端管控方案里有一项基础能力：识别终端的多网卡状态和异常网络连接——一台公司电脑同时连着内网和一个陌生无线信号，或者插着一个无线的USB网络设备，管控平台立刻告警。哪台机器、哪个工位、什么时候插的，一目了然。

第二步，策略上直接阻断。对确认违规的场景，通过终端策略禁止非白名单的网络适配器工作：USB无线网卡设备默认禁用，笔记本同时连接有线和无线（双网并连）触发告警或自动断开。手机USB共享热点同样纳入管控视野。堵住之后，那台电脑的流量只能走公司网络，回到可审计的轨道上来。

第三步，也是最重要的一步：给出路。员工插随身WiFi无非几个诉求：投屏方便、网速快、访问某些被限制的资源。IT要把这些诉求接住——会议室投屏用公司无线覆盖到位；大文件下载提供内网缓存或错峰带宽；确有合规需求的移动上网，统一发公司办的上网卡，设备登记、流量可查。有了正路，员工才没必要自己修“小路”。

配套再立一条规矩写进制度：私自搭建网络通道（随身WiFi、热点共享、私接路由）视同违反信息安全红线，第一次警告，造成后果的按制度处理。制度写在墙上，策略落在终端上，两头都有牙齿。

小结

网络安全里有个朴素道理：你不知道的洞，才是最危险的洞。防火墙再厚，也挡不住一台插在员工电脑后面的随身WiFi。建议IT这周就做两件事：一是让终端管控平台跑一遍多网卡和外联审计报告，看看现在有多少“翻墙”的终端；二是把私接通道这条红线补进公司安全制度。花不了多少工夫，堵上的可能是一个大窟窿。