2023年冬天，网络某三甲医院的安全挂号系统被拖库了。攻击者没用什么零日漏洞，漏洞只是网络发现了一个测试接口没关——账号密码都是默认的admin/123456。数据泄露了四十万条，安全包括患者姓名、漏洞身份证号和就诊记录。网络这事后来被压下去了，安全但圈内人都知道，漏洞真正的网络问题不是那个接口，而是安全运维团队三个月前就收到了漏洞扫描报告，没人点开看。漏洞

网络安全漏洞这词听起来很技术，网络其实大部分事故的安全根子不在代码多精妙，而在人有多懒。漏洞SQL注入、XSS跨站脚本、CSRF伪造请求——这些教科书上的经典漏洞，到今天依然能打通大量系统。不是防御手段不存在，是没人去用。我见过一个电商后台，用了某知名框架的最新版，结果开发人员把调试模式开着上线了，报错页面直接吐出数据库路径和表结构。攻击者省了渗透测试的功夫。

漏洞的可怕之处在于它的不对称性。防守方要堵住所有入口，攻击方只需要找到一个没关的窗。一个中型企业的网络边界可能有几百个资产：官网、OA、VPN、邮件网关、各种API。每个资产又依赖几十个开源组件。Log4j2那个核弹级漏洞爆出来的时候，多少团队连夜加班？但更早的Fastjson漏洞呢？很多人到现在都没升级。

供应链攻击是另一个被低估的雷区。你用的npm包、maven依赖、甚至Docker镜像，都可能被人投毒。2021年Codecov的bash上传脚本被篡改，影响了上万家企业。攻击者没黑进Codecov的核心系统，只是拿到了一个脚本的修改权限。这种攻击的隐蔽性极强——你信任的是上游，而上游自己都不知道被动了手脚。

弱口令和未授权访问，听起来像上世纪的问题。但Shodan上随便一搜，暴露在公网的Redis、MongoDB、Elasticsearch实例一大把，很多连密码都没设。有人写了个爬虫，专门扫这些开放数据库，自动下载数据然后勒索。成本低到令人发指。你问为什么不用防火墙？因为业务部门说“这样访问方便”。

钓鱼邮件依然是绕过所有技术防御的捷径。你防火墙再厚，员工点开一个伪装成发票的exe，内网就沦陷了。我见过一个案例，攻击者伪装成CEO给财务发邮件，说“我在外面开会，先打这笔款，手续后补”。财务打了八十万。事后查邮件头，发件地址是gmail，域名拼写差了一个字母。安全意识培训做了，但没人认真看。

漏洞管理最大的敌人是“已知但未修复”。很多企业买了扫描器，报告生成了一堆，优先级排不出来，修复排期永远在“下个迭代”。开发说没时间，运维说不敢动生产环境，安全团队人微言轻。最后大家默契地等——等出事再说。这种心态比任何技术漏洞都致命。

零信任架构被吹了好几年，落地的不多。原因很简单：麻烦。每次访问都要验证，用户体验下降，业务部门投诉。但现实是，边界防御早就千疮百孔了。远程办公、BYOD、云服务，你的内网早就不“内”了。一个VPN账号泄露，攻击者就能在内网横向移动，像逛自家后院。

说回那个医院。事后复盘，攻击者其实留了后门，但安全设备没告警——因为规则库两年没更新。厂商早就发了补丁，但采购流程走完要半年。这半年里，系统一直裸奔。漏洞从来不是单纯的技术问题，它是管理问题、流程问题、甚至政治问题。你问怎么防？先让安全团队有话语权，再谈技术。