治理层次（从易到难）
治理层次（从易到难）
1. 代理化：服务器出站经代理，日志可审计
2. 白名单：仅允许业务所需域名/IP 与端口
3. DNS：限制内网 DNS 递归出口，阻断直连外部 DNS
4. 检测：对直连外网 IP、非常规端口流量告警
5. 场景：更新源、API 对接等按业务开列清单现状核查线索
现状核查线索
ss -tnp state established | head -20 # 当前外联连接与进程
# 结合出口防火墙/云 NAT 日志统计目的地址分布出站白名单的维护成本要提前评估：先用『记录+告警』摸清现状，再逐步切换拒绝策略。