如何防范操作系统漏洞攻击

去年秋天，何防我帮一个做外贸的范操朋友处理服务器被入侵的事。对方通过一个没及时修补的作系Windows SMB漏洞，直接拿到了系统最高权限，统漏把数据库里的洞攻客户信息全加密了。朋友当时问我：“我装了杀毒软件，何防怎么还会中招？范操”这个问题其实很典型——很多人以为杀毒软件就是万能盾牌，但操作系统本身的作系漏洞，往往才是统漏攻击者最爱的入口。

漏洞攻击的洞攻核心逻辑很简单：系统代码里存在设计或实现上的缺陷，攻击者构造特殊数据或操作，何防让系统执行本不该执行的范操指令。比如经典的作系“永恒之蓝”，利用的统漏就是Windows SMB协议中一个缓冲区溢出漏洞。攻击者发一个精心构造的洞攻包，就能让远程电脑蓝屏或者直接运行恶意代码。整个过程不需要用户点击任何东西，只要系统开着445端口、没打补丁，就完蛋。

那怎么防？第一件事，也是最重要的一件事：补丁要打，但不能瞎打。我见过不少运维人员，要么几个月不更新，要么一看到推送就无脑全装。后者有时更危险——微软自己就出过几次补丁导致系统蓝屏或性能暴跌的事故。我的习惯是：安全更新延迟3到7天再装，先看社区反馈和微软已知问题列表。但关键漏洞（比如CVSS评分9.0以上的远程代码执行漏洞）必须24小时内处理。去年那个Log4j漏洞，虽然严格说不是操作系统漏洞，但道理一样——拖一周，服务器就被挖矿程序占满了。

第二，别让系统“裸奔”在网络上。很多攻击来自扫描+利用的自动化工具，它们像撒网一样找开放端口。你家里路由器如果直接把Windows的3389远程桌面暴露在公网，几小时内就会收到上万次登录尝试。我自己的做法是：服务器只开必要的端口，SSH和RDP全部限制来源IP，或者干脆走VPN。家用电脑？Windows防火墙默认阻止入站连接，别手贱关掉它。有个细节：很多人装完软件后，防火墙会弹窗问“是否允许”，随手点“允许”，结果给某个后台服务开了后门。看清楚再点。

第三，权限别给太高。我见过开发人员直接用Administrator账户跑日常办公，浏览器、邮件客户端全在最高权限下运行。一旦浏览器被挂马，恶意代码直接继承管理员权限，想干什么都行。正确的做法是：日常用标准用户，需要提权时再输管理员密码。Linux下同理，别没事就sudo su。另外，Windows的UAC（用户账户控制）虽然烦人，但别关。它至少能拦住一部分静默提权攻击。

第四，关注那些“不起眼”的组件。操作系统漏洞不光是内核的事。比如Windows的字体解析引擎、Linux的glibc、macOS的XPC服务，都出过严重漏洞。还有打印机后台程序、DNS客户端、甚至自带的解压功能。攻击面比你想象的大。我习惯每季度用Nessus或OpenVAS扫一次内网机器，看看有没有遗漏的补丁或错误配置。别迷信“自动更新”，有些企业环境里WSUS服务器配置错了，客户端根本收不到补丁，自己还不知道。

最后说个反直觉的点：别追求“绝对安全”。我见过有人为了防漏洞，把系统服务关得只剩内核，结果业务跑不起来，自己又手动开回去，反而留下更乱的配置。防范漏洞攻击是个平衡——及时补丁、最小权限、网络隔离、日志监控，四件事做到80分，就能挡住绝大多数自动化攻击。剩下的精力，不如去盯异常行为。比如你发现某个进程突然开始大量读取内存或连接陌生IP，那可能就是漏洞被利用了。这时候断网、取证、重装，比事后杀毒靠谱得多。

操作系统是人写的，就一定有漏洞。攻击者找漏洞的速度，永远比厂商修补快那么一点。你能做的，是让自己不是那个最容易得手的目标。