内容摘要：2023年12月，某三甲医院的信息科主任在内部会议上掏出一张表：全院在用的信息系统共87套，其中23套仍在运行Windows Server 2008。这个版本微软早在2020年1月就停止了安全更新。也

2023年12月，网络问题某三甲医院的安全信息科主任在内部会议上掏出一张表：全院在用的信息系统共87套，其中23套仍在运行Windows Server 2008。网络问题这个版本微软早在2020年1月就停止了安全更新。安全也就是网络问题说，这23套系统在近四年里，安全面对新曝出的网络问题漏洞，基本是安全"裸奔"状态。更麻烦的网络问题是，其中几套还连着CT机和检验设备，安全根本不敢随便动。网络问题

这不是安全个例。网络安全的网络问题问题，很多时候不是安全"有没有防火墙"这么简单。它更像一间老房子，网络问题水管、电路、承重墙各自为政，今天补这里，明天漏那里，住的人还换了好几拨。

补丁追不上漏洞

一个漏洞从被利用到大规模攻击，窗口期越来越短。2017年WannaCry爆发时，微软其实在两个月前就发布了MS17-010补丁。但全球仍有超过20万台设备中招，原因很直接——没人打补丁。英国NHS旗下至少34家医院受影响，手术取消，急诊关闭。事后调查发现，有的机器还在跑Windows XP，而XP的安全支持2014年就结束了。

打补丁这件事，说起来容易。一套业务系统，补丁装上去可能跟现有软件冲突，业务停摆谁负责？IT部门不敢拍板，业务部门不愿配合，最后就是"先放着"。放着放着，漏洞就被扫到了。

人的环节最松

2020年推特被黑，攻击者拿下了包括奥巴马、马斯克在内的多个高影响力账号，发推骗比特币。事后披露的细节很讽刺：攻击者先打电话给推特员工，冒充IT支持人员，套取了内部管理工具的访问权限。没有零日漏洞，没有复杂代码，就是几个电话。

社会工程学攻击的成本低到离谱。一封钓鱼邮件，伪装成"HR部门关于薪资调整的通知"，附上一个看起来像公司内网的登录页。点进去，输入账号密码，攻击者就拿到了第一把钥匙。很多企业的安全培训一年就一次，点个"已阅读"完事。员工真遇到可疑邮件，第一反应往往是"点开看看"，而不是"先报告"。

供应链是条软肋

2020年SolarWinds事件把供应链攻击推到了台前。攻击者入侵了SolarWinds的Orion平台，在软件更新包里植入后门。全球约1.8万名客户下载了带毒更新，包括美国多个政府部门和财富500强企业。你信任你的软件供应商，但供应商的供应商呢？

国内也有类似情况。不少企业用的开源组件，版本停留在两三年前，维护者可能早就没在管了。Log4j漏洞爆发时，很多公司才发现自己的系统里嵌着这个组件，藏在某个不起眼的第三方库里。想修，得先把整个依赖树捋一遍。

数据在流动，边界在消失

远程办公普及后，企业内网的概念被冲得七零八落。员工在家连VPN，用个人设备处理工作，数据在家庭Wi-Fi、公共云盘、即时通讯工具之间来回倒腾。某互联网公司安全团队做过一次内部测试：用钓鱼邮件模拟攻击，结果有17%的员工在非公司设备上输入了企业账号密码。

零信任架构喊了几年，落地的不多。不是因为技术不成熟，而是因为改造旧系统的成本太高。身份认证、权限管理、日志审计，每一项都要动现有流程。安全部门推不动，业务部门嫌麻烦，最后往往变成"先上VPN凑合着"。

网络安全的问题，说到底不是技术单点的问题。它是预算、流程、人性和历史包袱搅在一起的一团乱麻。你今天封了一个漏洞，明天可能因为一个实习生的弱密码又开了一扇窗。没有一劳永逸的方案，只有持续不断的拉扯和修补。