2023年，网络某中型电商企业因为一名运维人员把测试环境的安全数据库端口直接暴露在公网上，且未设任何访问限制，防护三天后数据库被拖走，有原客户订单和部分支付信息在黑市上流通。则和事后复盘，网络问题不在技术多复杂，安全而是防护最基础的“最小暴露面”原则被忽略了。网络安全防护从来不是有原买几台防火墙、装一套杀毒软件就能交差的则和事，它更像一套需要持续执行的网络操作规矩。

最根本的安全一条，叫默认拒绝。防护任何没有明确允许的有原流量、访问、则和操作，都应该被挡在外面。很多企业内部系统为了方便，习惯性设置为“允许所有”，再慢慢加限制。方向反了。正确做法是先关死，再按业务需求一个个开洞。我见过一家公司把Redis默认端口6379开放到公网，理由竟然是“开发调试方便”。这种方便，代价往往是数据全丢。

第二条，最小权限。一个前端开发人员，不需要拥有生产数据库的删除权限。一个客服账号，不该能导出全部用户手机号。权限给多了，一旦账号被钓鱼或泄露，攻击者就能横向移动。实践中，很多入侵链条的起点就是一个普通员工账号，因为该账号能访问的东西远超其工作需要。定期审查权限列表，比买再贵的EDR都管用。

网络隔离不是新鲜词，但真正做扎实的团队不多。分段与隔离意味着把不同安全级别的区域切开——办公网、生产网、测试网、DMZ区，彼此之间默认不通。哪怕攻击者拿下一台办公电脑，他也很难直接跳到核心数据库。有个做金融的朋友告诉我，他们内网连 ping 都不允许跨段，刚开始被开发骂得不行，后来一次勒索软件爆发，隔壁公司全盘加密，他们只损失了一台边缘机器。骂声就停了。

身份验证这块，零信任的思路正在替代传统的“内网即可信”。别再以为进了公司Wi-Fi就是自己人。多因素认证（MFA）现在应该是标配，尤其是VPN、邮箱、云控制台、代码仓库这些入口。密码加短信验证码已经不够，短信可被拦截。更稳的是TOTP动态口令或硬件密钥。我自己的习惯是：凡是能开MFA的服务，全开，哪怕麻烦一点。麻烦五分钟，可能省掉一场灾难。

日志和监控，是很多人嘴上重视、实际敷衍的部分。没有日志，等于没有真相。出了事，你连攻击者从哪进来的、待了多久、拿了什么都不知道。要求很简单：关键系统日志留存至少180天，集中收集，防止本地被删。同时设置告警规则——比如非工作时间的大量数据导出、异常地域登录、特权账号提权操作。告警不一定要多，但要准。天天狼来了，运维就会麻木。

补丁管理听起来老套，但效果立竿见影。2021年Log4j2漏洞爆发时，那些能在48小时内完成核心系统修复的团队，靠的不是运气，是平时就有一套资产清单和补丁流程。资产清单是根基——你都不知道自己有多少台机器、跑了什么版本，谈何防护？我见过一家公司连自己有多少个公网IP都说不清，这种状态下做安全，纯属碰运气。

最后说一条容易被忽视的：人是最薄弱的环节，也是最后一道防线。钓鱼邮件演练、安全培训、甚至定期发一些真实攻击案例给全员看，比单纯发制度文件有效得多。有个细节：某公司IT部门每次钓鱼演练后，把中招率最高的部门名单（不点名）贴在茶水间，第二个月中招率直接降了六成。人是要面子的。

这些原则不新，也不酷。但网络安全这件事，拼的不是谁用了最贵的设备，而是谁把最基本的要求执行得最彻底。一个默认拒绝的防火墙规则，一个及时打的补丁，一个多因素认证的开关，往往比一堆花哨的安全产品更能救命。