前几天和一个做IT运维的朋友吃饭，他一边扒拉米饭一边吐槽：“公司里最容易被骂的软件，除了OA，就是赛门铁克SEP，电脑一卡，大家先怀疑它；U盘插不进去，也怀疑它；连打印机连不上，还有人跑来问我是不是SEP又拦了什么。”我听完差点笑出声，但笑完又觉得挺真实，很多企业电脑里都装着赛门铁克SEP，也就是Symantec Endpoint Protection，可大多数普通员工对它几乎无感，只有在它弹窗、拦截、扫描变慢的时候，才会突然意识到：哦,原来还有这么个东西。
我先说一个特别生活化的例子，去年朋友所在的公司搬办公室，行政大姐拿了一个旧U盘来拷贝资料，插到财务电脑上没两秒，屏幕右下角就弹出了SEP的拦截提示，大姐当时有点慌，觉得是不是电脑坏了，后来IT过来一看，U盘里带了一个老式Autorun脚本，SEP直接给拦了，你说这事大不大？放在懂技术的人眼里可能很普通，但对财务电脑来说，真要是放进去一个来路不明的脚本，后面可能就不是“弹个窗”这么简单了，那天朋友跟我说，平时大家都嫌SEP烦，可真拦到东西的时候,又觉得它像个不爱说话但挺靠谱的门卫。
还有一个实例是我自己遇到的，我以前在一家小公司做内容，设计部同事天天抱怨电脑慢，说打开一个大尺寸PSD文件要等半天，最后统一把锅甩给SEP，后来IT查了一圈，发现SEP确实在做实时扫描，但问题不全是它的：那台电脑本身内存就小，硬盘还是老机械盘，再加上设计目录里全是几十GB的素材，扫描策略也没做排除，IT后来把设计素材盘和常用缓存目录加了排除项，又调整了扫描时间，同事的体感才好了不少，这个事让我印象很深，因为很多时候我们骂一个安全软件“卡”，其实骂的是整套终端管理策略：软件只是执行者，真正决定它温不温柔的,是背后怎么配置。
赛门铁克SEP在我理解里，不是那种给普通个人用户随便装来“图个安心”的小工具，它更像企业终端安全管理平台，它管的东西挺杂：病毒防护、防火墙、入侵检测、设备控制、应用控制、集中管理策略等等，对IT管理员来说，它的价值不在于某一个弹窗，而在于“我能不能在上百台、上千台电脑上统一设置规则，出了事能不能快速定位”，比如有的公司禁止普通员工电脑使用U盘，有的公司允许只读，有的公司要求所有终端必须更新到某个策略版本，这些都能通过管理端去推，普通员工看到的只是“U盘插上没反应”,IT看到的却是背后一条条策略在跑。
但我也得说句实在话：我的个人观点很明确，赛门铁克SEP不是神药，装上了不等于企业就安全了。 终端安全这件事，软件只占一部分，剩下的全靠管理，你策略配得乱七八糟， exclusion列表乱加，员工把密码贴在显示器上，钓鱼邮件照样点，那再贵的终端防护也救不了，如果IT把SEP的策略梳理清楚，该拦的拦、该排除的排除、该通知的通知，它就能成为一个挺稳的底座，最怕的是什么呢？是公司买了软件，往电脑上一推，然后没人管，员工只觉得卡，IT只觉得“反正装上了”，最后安全软件活成了大家眼里的“背锅侠”。
我还想提一个远程办公的场景，现在不少公司允许员工在家连VPN办公，有次一个同事在家里怎么都连不上内网，怀疑是家里网络问题，后来排查发现，是SEP的防火墙策略在某个网络环境下把连接给限制了，IT远程调整了一下规则就好了，你看，这种问题对普通用户来说很懵，但对管理员来说就是策略问题，所以我觉得，企业用SEP，沟通特别重要，IT不能只在群里发一句“大家不要卸载安全软件”，最好能说清楚：为什么拦、拦了什么、遇到误报找谁、哪些操作需要提前申请，员工也别一遇到卡顿就自己动手卸载，很多时候卸载完看似清爽了,实际上是把公司安全边界撕了个口子。
如果让我给普通员工一点建议，我会说：看到SEP弹窗先别急着点“允许”，尤其是来源不明的U盘、破解软件、邮件附件，能问IT就问一句；如果电脑确实因为扫描变慢，把具体场景告诉IT，打开某个共享盘目录特别慢”“插某个品牌U盘没反应”，这比一句“电脑卡死了”有用得多，给IT的建议则是：别把SEP当成一次性部署任务，策略要定期复盘，排除项要谨慎加，误报要建立反馈渠道，性能问题要用数据说话,而不是让员工硬扛。
说到底，赛门铁克SEP这类企业终端安全软件，很像公司楼下的门禁系统，平时你刷卡进进出出，觉得它毫无存在感；一旦它坏了，你会觉得特别麻烦；一旦它拦住了不该进的人，你又会觉得还真得有这么一道门，它不完美，可能会有误报，可能会让老电脑更吃力，也可能因为策略太严被员工吐槽，但在企业环境里，完全裸奔肯定不是选项，我的态度是：别神化它，也别妖魔化它，把它当成一套需要被认真管理和沟通的安全工具，才是比较靠谱的用法，毕竟，安全这件事，最怕的从来不是软件太严格，而是大家都觉得“不会轮到我”。