某电商平台在季度攻防演练中被打穿，网络事后追查发现，安全漏洞源头竟是漏洞一台早已废弃的打印机。它连着内网，排查固件停留在五年前，网络连默认密码都没改。安全这事听起来像段子，漏洞却是排查网络安全排查里最典型的盲区——我们总盯着核心服务器，却忘了角落里那些不起眼的网络设备。

排查漏洞，安全第一站就该是漏洞资产盘点。别急着扫漏洞，排查先搞清楚网络里到底挂着多少东西。网络很多公司连自己的安全资产清单都不准确，业务部门私自拉的漏洞网线、临时搭的测试环境、离职员工没注销的云主机，这些都是暗雷。我见过一家公司，IT部门报上来的服务器是87台，结果用网络扫描工具一跑，实际在线设备超过200台。那多出来的一百多台，就是黑客眼里最肥的肉。

资产清楚了，接下来看补丁管理。Windows系统每月都有更新，但不少运维为了省事，直接关掉自动更新，理由是怕兼容性问题。这想法能理解，但风险实在太大。去年爆出的Exchange Server漏洞，被利用的时间窗口只有短短几天，没打补丁的企业几乎是一边倒地被勒索。补丁这事，不能靠自觉，得用自动化工具强制推行，哪怕先在小范围测试再全量推送，也比裸奔强。

弱口令和默认配置，是另一个重灾区。别笑，直到今天，还有生产环境的数据库用的是root/root这种组合。有些设备出厂自带管理账号，比如摄像头的admin/12345，很多人装上就不管了。排查时要重点检查所有联网设备的认证机制，不光看密码强度，还要看有没有开启双因素认证。内部系统可能觉得没必要，但一旦VPN账号泄露，没有双因素就等于把大门钥匙直接递给黑客。

日志分析往往被忽略，但它藏着最关键的线索。攻击者的行为总会留下痕迹，登录失败记录、异常时间段的访问、大流量上传下载，这些在日志里都有迹可循。排查时别光看告警，要主动去翻原始日志。有一次我们追踪一起数据泄露事件，就是从一台跳板机的SSH登录日志里，发现凌晨三点有个账号尝试了上百次密码，最终成功登入。可惜这些日志默认只保留七天，等发现时早就被覆盖了。

还有个容易漏的点是第三方组件和开源库。现在的应用开发都在拼装各种框架，比如Struts2、Log4j，这些组件一旦爆出漏洞，影响面就是指数级的。排查时要梳理所有依赖清单，比对公共漏洞库，别以为用最新版本就万事大吉——Log4j2那个漏洞，连最新版在特定配置下都中招。

最后说说供应链风险。你排查完自己所有系统，觉得固若金汤了？那合作方的接口呢？外包开发的代码呢？某金融机构被黑，起因就是他们的天气预警系统供应商，那家小公司整个服务器就是个空壳子，被拿下后顺藤摸瓜进了金融内网。排查范围得覆盖所有有数据交互的第三方，哪怕只是传个文件。

网络安全排查不是一次性任务，它更像定期体检。每次排查完，把发现的问题按严重程度排序，能马上改的别拖，改不了的要有临时缓解措施。记住，攻击者从来不会按你的计划来，他们只找最薄弱的那个点。你唯一能做的，就是让每个点都硬一点，再硬一点。