2023年冬天，防止法某三甲医院的网络挂号系统被勒索软件锁死，攻击者索要比特币。攻击IT部门后来复盘发现，防止法入口竟然是网络一台没人管的旧打印机——它连着内网，固件三年没更新，攻击默认密码还是防止法“admin”。这事听着离谱，网络但类似剧本每天都在上演。攻击

网络攻击早就不靠什么高深漏洞了。防止法攻击者更像小偷，网络挨个拉车门，攻击哪辆没锁就进哪辆。防止法你的网络防线不需要完美，只要比隔壁那台机器难搞一点，攻击大多数自动化扫描就会绕过去。

先管住“门”

密码这件事，说了二十年还是最大短板。我见过一家公司，财务系统密码是“Finance2024”，全部门共用。员工离职半年，密码没换过。攻击者根本不用破解，直接登录就行。

两个硬性动作能挡掉大半风险：一是所有对外服务必须开双因素认证，短信验证码都行，别嫌麻烦；二是给员工配密码管理器，别让他们自己记。人脑记不住三十个复杂密码，最后必然写成便利贴贴在显示器上。

还有那些“僵尸设备”——旧路由器、网络摄像头、测试服务器。它们不产生业务价值，但占着IP、开着端口。每季度扫一遍内网，发现不认识的东西直接下线。别心疼，留着就是给攻击者留后门。

补丁要打，但别瞎打

“及时更新”是句正确的废话。真实情况是：生产环境不敢随便重启，测试环境没人管，补丁堆了半年。我的做法是分两级——对外暴露的服务（网站、VPN、邮件网关）必须两周内打补丁，哪怕半夜停机；内部系统可以慢，但每季度强制一次窗口期。

别忽略固件。防火墙、交换机、甚至UPS电源的固件漏洞，攻击者一样能用。去年某券商被攻破，就是用了某品牌防火墙的一个已知漏洞，补丁发布八个月没装。

备份不是万能的，没验证的备份等于没有

勒索软件最狠的一招不是加密，是先把你的备份删了。所以备份要遵守“3-2-1”原则：三份副本，两种介质，一份离线。离线那台最好用磁带或者拔掉网线的硬盘，别图省事挂NAS上。

更关键的是恢复演练。我见过团队备份了三年，真出事时发现数据库备份脚本早就报错，只是没人看邮件。每季度抽一天，从备份恢复一个核心系统，计时。超过四小时恢复不了，就得改方案。

人是最弱的环节，但也能变成传感器

钓鱼邮件永远有效，因为总有人好奇。与其反复培训“不要点链接”，不如做点实在的：给邮件网关加个外部邮件标记，标题前加[外部]两个字；关掉Office宏的自动执行；财务审批流程加一道电话确认。

同时让员工愿意报告。有个客户内部搞了个“钓鱼举报奖”，举报可疑邮件奖励五十块咖啡券。半年后，他们提前拦住了三次真实攻击。人不是防火墙，但可以是烟雾报警器。

日志要有人看

很多公司买了SIEM，日志存了PB级，但没人分析。攻击者在内网横移几周都没人发现。小团队不用搞那么复杂，盯住三个地方就够：防火墙拒绝日志突然暴增、非工作时间的管理员登录、大量文件被重命名。设个告警发到运维群里，比什么AI分析都管用。

最后说句实在的，没有绝对安全。攻击者也在算成本——你让他花三天还进不来，他可能就去搞下一家了。安全不是买一堆设备，是把几件基础的事重复做、认真做。那台旧打印机，关掉或者换掉，就这么简单。