去年夏天，找堵我们小区连续发生了三起入室盗窃。防漏小偷都是找堵从一楼住户的厨房窗户翻进去的，那几扇窗户的防漏锁扣早就坏了，用一把螺丝刀就能撬开。找堵物业事后排查，防漏发现整个小区一楼有47扇窗户的找堵锁扣是坏的，其中23扇压根没锁。防漏这事让我意识到，找堵大部分安全问题不是防漏出在什么高深的技术对抗上，就是找堵最基础的"堵漏"没做到位。

找漏洞这件事，防漏说起来简单，找堵做起来需要一点"偏执"。防漏我有个做网络安全的找堵朋友，他每次给客户做渗透测试，第一件事不是跑扫描工具，而是搬把椅子坐在客户办公室门口，观察员工进出时门禁卡怎么刷、访客怎么登记、保洁人员能不能随便进机房。他说80%的入侵路径就藏在这些日常细节里。工具能帮你查已知的漏洞，但真正的风险往往在人的习惯里。

堵漏讲究的是速度，不是完美。2021年某车企被曝出车机系统存在远程控制漏洞，他们的做法是先通过OTA推送一个临时限制，把远程控制功能锁死，然后花了两周时间开发正式补丁。这个顺序是对的。很多团队反过来，非要等完美方案，结果漏洞窗口期被拉得老长。先止血，再治病，这个逻辑在安全领域永远成立。

防漏洞比堵漏洞更考验功夫。堵是出了事赶紧补，防是在没事的时候就得琢磨"哪里可能出事"。我认识一个做电商仓储的老板，他有个习惯：每季度让仓库主管轮换一次盘点区域。问为什么，他说同一个人长期管同一片区域，会形成视觉盲区，少了几箱货自己都察觉不到。轮换之后，新来的人一眼就能看出货架摆放不对劲的地方。这跟安全领域的"红蓝对抗"是一个道理——换双眼睛，才能看到自己看不到的东西。

但"防"有个陷阱：容易变成形式主义。很多公司搞安全培训，签到表收了一摞，考试人人满分，真遇到钓鱼邮件还是有人点。问题出在哪？培训内容跟实际场景脱节。与其讲一堆"不要点击陌生链接"的大道理，不如直接拿公司内部真实的钓鱼测试数据说话——哪个部门中招率最高，哪类邮件最容易骗到人，点开之后会泄露什么信息。具体，才有痛感。

回到我们小区那个事。物业后来换了所有坏锁扣，加装了窗户限位器，还在每栋楼一楼外墙装了感应灯。三个月后我碰到那个保安队长，他说最近连电动车电瓶都没丢过。你看，安全这事有时候不需要多高级的方案，把最基础的漏洞找出来、堵上、再定期检查一遍，大部分问题就解决了。难的是有人愿意一遍一遍地做这些不起眼的事。

我自己的习惯是每个月最后一个周末，花半小时检查家里所有门窗锁、燃气阀门、烟雾报警器电池。听起来有点强迫症，但去年冬天隔壁单元燃气软管老化漏气，就是报警器半夜响起来才发现的。那声警报响的时候，我特别庆幸自己上个月刚换过电池。