一台咖啡机十天内产生一 TB 流量：消费设备入网前的网络行为验收
一、内网里的异常行为不是被检测出来的，是被发现之后才回看的
据公开报道，有用户发现家里新买的智能咖啡机在十天量级内产生约一 TB 的数据流量，而且这些流量不是往外部发送的上行数据，是在局域网内部嗅探元数据的扫描流量；报道还提到相关厂商可能把数据出售给广告商。厂商与动机都按公开报道转述，本文不断言任何品牌存在违法收集，这个数字只引用一次，它不是本文判断的依据。
真正值得记下的是另一件事：这台设备已经在网络里跑了些日子，才被一个人偶然看到。内网异常行为几乎都遵循这个模式——它不触发任何告警，因为现有防御的视线朝向外部；直到有人出于别的原因翻了流量统计，才回头发现行为不正常。要把这类事情从”偶然发现”变成”接入前就知道”，缺的不是更贵的设备，是一条常规验收流程和几张能填的表。
先做分类。一台设备接进局域网，可观测的流量至少分三种，含义完全不同。本机到网关与外部的上行，对应设备与云服务之间的通信，是常规防御重点关注的方向；本机对同一子网内其他主机的横向访问，对应设备与其他内网设备之间的通信，正常消费品在这里的需求极少；广播与组播协议的噪声，对应设备发现、名称解析这类基础机制，量大但目标有限。
“内网扫描”和”上报云端”是两个风险面，混在一起谈会得出错误处置。后者是隐私与数据出境问题，靠告知、授权与合同约束；前者是网络设备权限问题，意味着一台本来只需要跟云通信的机器，主动去摸遍了整个子网，把邻居的在线状态、服务能力这些元数据收集起来。上行流量多可以问一句”传了什么”，横向访问多要问的是”为什么要找这些地址”。这两个问题的处置手段完全不同。
二、接入前先建观测基线
消费品接进家庭或办公网络之前，应该先在隔离环境里观察一段时间，而不是插上路由器就开始用。这一步不需要复杂设备，需要的是把观察条件固定下来。
做法是在独立 VLAN 或隔离网段里放置待测设备，给它一个正常工作的外部条件——能连厂商云、能完成配网与基本功能——然后连续观察若干天。观察期内记录三类计数：按协议类型分类的会话数、按目标地址分类的访问对象数、按时间分布的活动量。三个维度合起来才看得出形态，只看总量等于什么都没看。
要看的核心区别是周期性心跳与突发扫描。心跳的特征是目标固定、间隔规律、每次交换的数据量小且稳定，即便频繁也可预期；突发扫描的特征是短时间内目标数量快速上升、每个目标只发生很短的交互、然后回到沉寂。前者是行为模式问题，后者是意图问题，判定值要分开设，不能靠一个”流量超阈值”来兜。
基线还要留一份”预期清单”：这台设备声明自己需要跟哪些服务通信、需要哪些本地能力（比如与同网段的音箱或电视联动）。预期之外的目标一律进异常判定流程，而不是”可能是正常更新”。这份清单只能在采购与验收阶段向供应商要，等上线之后再问，通常问不出结果。
三、判定条目：什么形态算异常
把观察到的东西和判定条目对照，比凭”看着不正常”更有说服力。下面是我们在入网检查里使用的条目，都是形态特征，不涉及任何具体工具或操作细节。
| 判定条目 | 观察形态 | 记录字段 | 处置指向 |
|---|---|---|---|
| 子网内遍历特征 | 短时间内访问大量同网段主机，且每个目标交互极短 | 目标数、时间窗口、交互时长分布 | 直接进入处置档位判断 |
| 非常规端口探测 | 对少数主机反复尝试与其声明功能无关的服务 | 目标主机、服务类型、频次 | 与预期清单核对后定性 |
| 广播与组播风暴 | 名称解析与设备发现类报文量级异常放大 | 报文类型、单位时间条数、源设备 | 先看是否随固件更新出现 |
| 未配置目标的连接 | 向网络中并不存在的地址发起连接尝试 | 目标地址、来源端口范围、重试次数 | 反映设备内置了陈旧目标列表 |
| 非工作时段活动 | 在无人使用的时段保持高位活动 | 时段分布、与使用时段的偏离 | 观察两个完整周期后判定 |
条目要成文并且可复核。同一条现象，不同人观察给出的结论应当一致，这靠判定值形式的统一：用”目标数与时间窗口的组合”而不是”看起来很多”。所有判定都要落观测窗口的起止、观察条件、当时的固件版本，缺了版本这一项，事后无法解释行为变化。
四、处置四档与复发判定
发现异常之后，可做的处置分四档，从轻到重各有适用条件，也各有复发判定。
第一档，阻断并保持可观测。切断设备的横向访问，保留它与厂商云的必要通信，同时继续观察。适用条件是行为可解释、且设备功能不依赖内网联动。复发判定看阻断后的重试强度：如果设备在短时间内持续、密集地尝试恢复扫描，说明这不是偶发状态而是设计意图。
第二档，收紧到只允许声明的目标。按预期清单做白名单，设备只允许与列明地址通信。适用于有明确云服务依赖、但拒绝放开横向访问的情况。复发判定看白名单是否被反复申请扩充——每次功能更新都要求新增目标，等于清单失去约束力。
第三档，隔离到受限网段。把设备整体移入独立网段，与办公或家庭主网仅保留必要通道。适用于无法确认其行为边界、但又确有使用需求的情况。复发判定看受限网段是否发生穿透尝试。
第四档，拒绝入网。这一档要写进采购规则里，而不是事后临时决定：无法说明内网访问需求、或者在观测期内多次触发高危形态的设备，不接入生产与办公网络。适用判据应当提前定好，否则这一档永远不会被真正执行。
四档之间可以有升降级路径，但升级要有证据，降级要有观察期。没有观察期的降级等于没有处置。
五、企业侧的三类扩展问题
家庭网络里的判断逻辑搬到企业网络，要按三类对象分别定策略，混在一起谈必然失控。
员工自带的智能设备。这类设备的采购与配置完全不在企业控制内，但会接入办公网络。可行策略是只允许访客或专用网段，不与办公主网路由互通；同时把”是否允许自带智能设备接入”写成明确规则，而不是默认禁止靠人自觉。
会议室大屏与投屏设备。它们的内网访问需求真实存在（发现协议、同网段联动），所以简单阻断会让设备变得不可用。合适做法是把这类设备固定在专用网段，只开放被声明的联动方向，并把发现类广播的量级纳入基线，避免正常协议噪声掩盖异常行为。
生产现场的传感网关。风险方向与前两类相反：现场网关的价值在于与大量设备通信，横向访问本身就是功能。这一类要管的是范围与身份——网关被授权访问哪些设备、能否下发指令、凭证如何轮换。一台被攻破的网关与一台爱扫描的咖啡机，在流量形态上可能相似，在风险等级上完全不同。
六、告知面与固件之后的重跑
隐私这件事在采购环节是可以问的，只是多数时候没人问。要问的条目很具体：设备收集哪些数据、发往何处、留存多久、是否用于广告或与其他主体共享、能否关闭、以及关闭之后哪些功能会失效。回答要留档，作为验收记录的一部分，而不是口头确认。这些问题在合同或采购问卷里出现，比在事件发生之后出现在法务邮件里便宜得多。
另一个容易漏的点是行为会变。设备的远程策略、固件版本、云端目标地址都可能随更新改变，昨天通过的验收不代表今天仍然成立。停服或策略调整之后，设备行为往往会突变——目标地址失效、重试放大、内置列表过期，这些都会体现在内网流量形态上。
因此基线观测不是一次性动作，而是要能重跑：新固件发布后重跑一次，异常上报后重跑一次，厂商策略变更公告后重跑一次。重跑要有比对，拿这一轮的分类计数与上一轮基线并列看差异，只看绝对值看不出问题。
洹拓做这类入网检查的体会是成本主要在前期：建一次隔离观察环境、写一份判定条目表、定四档处置与复发判据，之后每台新设备的检查就是走流程。收益则是很朴素的一条——在有人偶然发现之前，我们自己先知道。