去年某中型电商平台被拖库，网络攻击者既没用什么零日漏洞，安全也没突破WAF，加固仅仅靠一个离职员工没注销的网络VPN账号，加上一台三年没打补丁的安全测试服务器，就拿到了内网权限。加固这事后来复盘，网络根因简单得让人无语——那台测试机上跑着和生产环境一模一样的安全数据库配置，密码还是加固明文写在配置文件里的。

网络安全加固这件事，网络很多人第一反应是安全买设备。防火墙、加固IDS、网络WAF堆上去，安全觉得就安全了。加固但真正做过应急响应的人都知道，八成以上的入侵事件，问题出在最基础的配置和管理上。攻击面从来不是靠堆设备能收窄的，得靠一条条把不该开的口子堵上。

资产清点比什么都重要

你连自己有多少台机器、跑了多少服务都说不清楚，谈什么加固？我见过一家公司，CMDB里登记了200台服务器，实际扫描发现存活的有340台。多出来的140台哪来的？有的是测试机转正没登记，有的是业务部门自己买的云主机，还有的是离职员工留下的。这些“影子资产”就是攻击者的天堂。

做法不复杂：定期做全网段扫描，和CMDB做比对，差异项逐一确认。别嫌麻烦，这一步偷懒，后面全是坑。

补丁管理要抓重点

“所有系统都打最新补丁”这话说起来正确，执行起来不现实。生产环境打补丁要停机、要测试、要走变更流程。我的建议是分级处理：对外暴露的服务，补丁窗口不超过72小时；内网核心系统，两周内完成；内部工具类系统，一个月。重点盯的是那些有公开EXP的漏洞，比如Log4j2、Spring4Shell这种，别管CVSS评分多少，先打了再说。

还有一点，补丁不只是操作系统和中间件。容器基础镜像、第三方依赖库、甚至BIOS固件，都得纳入管理。去年有个案例，攻击者通过BMC的漏洞直接控制了物理服务器，操作系统层面的防护完全被绕过。

权限收敛得下狠手

最小权限原则讲了二十年，落地情况依然糟糕。域管账号被用来登录普通办公电脑，数据库账号拥有DROP权限，运维人员共用root密码——这些现象在中小企业里一抓一大把。

我的做法是三条线：第一，所有特权账号必须单独管理，密码定期轮换，操作全程录屏；第二，服务账号禁止交互式登录，只允许从指定IP调用；第三，离职流程里必须包含账号回收确认，HR发离职通知的同时自动触发账号冻结工单。别指望人自觉，得靠流程卡死。

日志和监控别只做样子

很多公司买了SIEM，日志接了一大堆，告警规则却没几条能用的。要么是误报太多没人看，要么是真正关键的告警被淹没在噪音里。我建议先从ATT&CK框架里挑最相关的十几种技术场景，针对性地写检测规则。比如：非工作时间的特权账号登录、同一账号短时间内从不同地域登录、大批量文件读取操作。这些规则不需要多复杂，关键是能跑起来、有人看、有响应。

还有，日志存储至少保留180天。很多入侵的潜伏期超过一个月，等发现的时候日志已经滚没了，溯源根本做不了。

人的因素永远绕不开

技术加固做到位了，钓鱼邮件照样能突破防线。不是员工傻，是攻击者的社工手段越来越精准。与其反复搞全员安全意识培训，不如做定向演练：针对财务部门发模拟钓鱼邮件，针对研发部门发伪造的GitHub通知。中招的人单独辅导，比大锅饭培训有效得多。

网络安全加固没有终点，也不是一次项目就能搞定的事。它更像是一种持续的运维习惯——每周看一次告警趋势，每月做一次资产比对，每季度跑一次权限审计。把这些基本功做扎实，比买什么高级设备都管用。