把防火墙规则写满三页A4纸，不如把那个默认口令改掉。防段中

我见过太多团队在安全防护上砸钱、护手堆设备、效果买威胁情报，最差结果被一个弱密码直接捅穿。漏洞去年某中型企业的防段中内网渗透测试，攻击队没用到任何0day，护手甚至没触发一次IDS告警。效果怎么进去的最差？运维图省事，把测试环境的漏洞Tomcat管理后台暴露在公网，密码是防段中admin/123456。就这么简单。护手事后复盘会上，效果安全负责人还在强调他们部署了WAF、最差上了EDR、做了微隔离——可漏洞防护效果最差的那一环，恰恰是这些“高级手段”覆盖不到的地方：人的惰性。

我说“弱密码策略”是漏洞防护手段里效果最差的，不是因为它本身没意义，而是因为它几乎完全依赖执行者的自觉。你写一百遍密码复杂度要求，不如强制启用双因素认证。你发十份安全邮件提醒，不如把默认账户直接禁用。防护手段的有效性不取决于设计多完美，而取决于绕过它有多容易。弱密码防护的绕过成本，低到令人发指——社工库撞一下，或者干脆猜。

更讽刺的是，很多团队把弱密码检查做成了形式主义。每年搞一次密码审计，用脚本跑一遍，发现几个“password123”就发通报，然后呢？没有然后了。下次审计还是那几个账户，还是那几个密码。这种防护就像在漏水的桶上贴张纸条写着“请勿漏水”——纸条贴得再工整，桶该漏还是漏。

补丁管理也类似，但比弱密码好一点。至少补丁有版本号，能扫描，能强制推送。弱密码呢？你没法强制一个人记住复杂密码，除非上硬件令牌或者生物识别。可一旦上了这些，用户又开始抱怨麻烦，然后IT部门妥协，开个后门允许“临时”用简单密码。这个“临时”，往往就是永久。

我并不是说弱密码防护没用。它有用，但它的效果天花板极低。你可以在所有文档里写“禁止使用弱密码”，可以在入职培训里讲三小时，可以在每台机器上贴便签——只要有一个员工偷懒，整条防线就塌了。而其他防护手段，比如网络分段、最小权限原则，即使执行不到位，也能提供一定程度的纵深防御。弱密码不一样，它是一票否决制的。一个弱密码，等于没有密码。

所以每次有人问我“该先做哪项安全加固”，我都会说：先把所有默认口令改掉，把所有不必要的账户删掉，把能上双因素的地方全上双因素。别急着买下一代防火墙，别急着搞零信任架构。那些东西有用，但前提是你的门锁不是纸糊的。而弱密码，就是那张纸。

最后说个真事。某次攻防演练，红队用一份从GitHub上扒下来的配置文件，里面明文写着数据库密码——“root/root”。就这一个密码，红队从外网打到了核心数据库。蓝队复盘时发现，他们其实部署了数据库审计系统，但审计规则里没包含“弱密码登录”这一项。你看，防护手段再多，漏掉最基础的那一环，效果就是零。

别在弱密码上浪费时间搞“策略优化”了。要么强制改掉，要么直接禁用。没有中间路线。