去年某家医院的防漏信息系统被勒索病毒锁死，急诊挂号停摆四个小时。洞攻打补丁事后溯源，手段攻击者利用的防漏是服务器上一个两年前就公布过的漏洞。补丁早就发了，洞攻打补丁没人装。手段这种事我见过太多，防漏每次问起来，洞攻打补丁回答都差不多：怕影响业务、手段测试没做完、防漏运维人手不够。洞攻打补丁理由都成立，手段但攻击者不跟你讲这些。防漏

打补丁这件事，洞攻打补丁听起来没什么技术含量。手段不酷，不新鲜，安全圈里聊起来都觉得土。可偏偏就是它，能挡掉大部分实际发生的攻击。攻防对抗里有个很朴素的道理：攻击者永远挑最省事的路走。你门没锁，他就不翻窗。你把已知漏洞都堵上，他的成本立刻飙升，很可能就换目标了。

我印象很深的一个案例，是几年前某家中小企业的内网被植入挖矿程序。安全团队查了半天，最后发现入口是一台没人管的旧打印机——固件版本停留在出厂状态，厂商三年前发过安全公告，修复了一个远程代码执行漏洞。这台打印机平时就放在角落吃灰，IT资产清单里压根没登记。攻击者扫到它，利用起来毫不费力。一台打印机的补丁没打，整条内网就破了。

补丁管理的难处不在于“打”这个动作，而在于“管”。你得先知道有什么资产，每台机器上跑着什么系统、什么版本，然后才能判断哪些补丁该打、优先级怎么排。很多团队的资产台账是过期的，新机器上线没人记录，老机器退役没人注销。这种情况下谈补丁管理，基本是空话。

还有一个现实问题：打补丁确实可能出事儿。Windows 更新完蓝屏的新闻，每隔一阵就来一回。生产环境里的核心业务系统，补丁和自家应用打架的概率不低。所以运维人员对补丁天然有抵触情绪——不打可能被黑，打了可能当场挂。这个矛盾没法完全消除，只能靠流程来管：先在测试环境验证，再灰度发布，留好回滚方案。麻烦是麻烦，但比被勒索强。

我自己的习惯是，关键补丁不过夜。浏览器、办公软件、对外暴露的服务，这些直接面向攻击面的东西，能自动更新就自动更新。内网服务器稍微谨慎一些，但也不会拖过一个月。那些“等下一个维护窗口”的说法，往往等着等着就忘了。攻击者最喜欢的就是这种遗忘。

零日漏洞很吓人，新闻也爱报。但从实际数据看，绝大多数成功的入侵利用的都是已有补丁的旧漏洞。攻击工具包在网上流传，谁都能下载。你不需要面对一个顶级黑客，你只需要比隔壁那台没打补丁的机器看起来更难搞就行了。

补丁不是万能的。它挡不住钓鱼邮件里那个点链接的人，也挡不住弱口令。但它是成本最低、收益最直接的一道防线。就像出门锁门一样，不保证绝对安全，但不锁肯定不行。那些觉得打补丁太基础、不屑于做的人，往往会在某个凌晨被电话叫醒，然后花十倍百倍的精力去收拾残局。

把补丁打上。就现在。

(责任编辑：知识)