2023年冬天，网络我帮一家小电商公司做安全排查。防御他们的措施服务器被入侵了，攻击者没偷数据，网络也没锁文件，防御而是措施把商品价格全改成了0.01元。等他们发现时，网络已经卖出去两千多单。防御老板问我：“我们装了防火墙，措施怎么还会这样？网络”我看了眼他们的后台，管理员密码是防御“admin123”，数据库端口直接暴露在公网。措施防火墙开着，网络但规则是防御默认允许所有流量。这就像给房子装了防盗门，措施却把钥匙插在锁孔上。
网络防御这件事，很多人以为买套设备就完事了。真不是。防御的核心在于理解攻击者怎么想。攻击者不傻，他们不会硬闯你花大价钱买的下一代防火墙。他们会找最薄弱的环节——一个没打补丁的插件，一个离职员工没注销的VPN账号，甚至前台那台连着内网的打印机。我见过最离谱的案例，攻击者通过智能鱼缸的温度传感器进了赌场的内网。对，就是那个能联网调温的鱼缸。所以防御的第一步，是承认自己不可能防住一切。
那怎么办？分层。别把鸡蛋放一个篮子里，也别指望一道墙能挡住所有攻击。网络分段是最实用的手段之一。把财务系统、办公网络、生产环境隔开。就算攻击者进了办公区，也摸不到核心数据。我自己的做法更粗暴：能不开的端口全关，能不通的网段全断。有次客户抱怨说这样太麻烦，开发测试不方便。我说你方便了，攻击者也方便了。后来他们折中，给开发单独拉了条线，物理隔离。麻烦是麻烦，但半年内没再出过事。
密码这块得单独说。弱密码是原罪。我见过用“123456”做数据库密码的，也见过全公司共用同一个管理员账号的。多因素认证现在不难实现，手机验证码、硬件密钥都行。至少给关键系统加上。另外，别再用那些默认端口。SSH换成2222，RDP别开在3389。这不能挡住高手，但能过滤掉一大半自动化扫描脚本。攻击者也是要算成本的，你让他多花五分钟，他可能就换目标了。
日志和监控比防火墙重要。很多公司被入侵了几个月都不知道。为什么？没人看日志。我习惯在每台关键服务器上装个轻量级的入侵检测工具，比如Wazuh或者简单的文件完整性监控。一旦有异常改动，立刻发邮件。有次凌晨三点我收到告警，说某台Web服务器的定时任务被改了。爬起来一看，果然被种了挖矿脚本。从告警到清理，花了二十分钟。要是等第二天上班才发现，CPU早就跑满了。
备份是最后的底牌。但备份也有讲究。别把备份和原数据放同一台机器上，也别只备一份。3-2-1原则依然有效：三份副本，两种不同介质，一份离线或异地。我见过勒索软件把本地备份也加密了的。所以离线备份很重要。磁带、冷存储、甚至刻张光盘锁保险柜里，都比没有强。恢复演练也得做。你备份了不代表能恢复。我每季度会抽一台机器做恢复测试，确保备份文件是完整的，恢复流程是通的。
最后说句实在的，网络防御没有银弹。你做得再好，也可能被攻破。关键是缩短发现时间和响应时间。攻击者进来待了五分钟就被踢出去，和待了五个月才被发现，损失完全不是一个量级。别追求完美防御，追求快速发现和恢复。这才是现实世界里的生存法则。