2017年5月，预防漏洞WannaCry勒索病毒横扫全球，预防漏洞超过20万台电脑在几天内被加密锁死。预防漏洞英国国家医疗服务体系被迫取消数千台手术，预防漏洞雷诺汽车的预防漏洞多家工厂直接停产。事后调查发现，预防漏洞病毒利用的预防漏洞是微软早在两个月前就发布补丁修复的漏洞——MS17-010。补丁就在那里，预防漏洞没人装。预防漏洞

这件事说明一个很朴素的预防漏洞问题：漏洞本身不可怕，可怕的预防漏洞是知道了却不动。

漏洞不会自己消失

很多人有种错觉，预防漏洞觉得系统没出问题就是预防漏洞没问题。一台服务器跑了三年没被攻破，预防漏洞管理员就容易放松警惕。预防漏洞但漏洞这东西不像漏水的水管，它不会因为你不去看它就自己愈合。攻击面只会随着时间扩大——新服务上线、新端口开放、新员工接入，每一个变化都可能把原本隐藏的问题暴露出来。

我见过一家小公司的内部系统，用的是五年前的开源框架。开发早就离职了，代码没人敢动。问为什么不升级，回答是“跑得好好的，升出问题谁负责”。这个逻辑听起来合理，实际上是把风险从“可控的升级成本”转移到了“不可控的入侵损失”。后来他们被拖库了，损失远超一次框架升级的费用。

补丁管理不是点一下按钮

说起来简单，做起来烦。补丁管理真正的难点不在技术，在流程。你得知道有哪些资产、跑着什么版本、哪些补丁适用、哪些补丁会跟现有业务冲突、什么时候重启不影响用户。这一串问题拆开看都不难，合在一起就是一个需要持续投入的工程。

微软每个月第二个周二发补丁，这个节奏已经持续了二十多年。但很多企业的补丁周期是按季度甚至按半年算的。中间这几个月，就是攻击者的窗口期。更麻烦的是，有些老旧系统根本不再收到官方补丁，比如还在跑Windows Server 2008的机器。这时候要么隔离，要么上虚拟补丁，要么就得接受风险——但前提是你得知道风险在哪。

代码层面的漏洞更难防

系统补丁是一回事，自己写的代码有没有漏洞是另一回事。SQL注入、XSS、越权访问，这些经典问题到今天依然是主流漏洞类型。OWASP Top 10榜单每隔几年更新一次，排名有变化，但核心问题反复出现。

原因不复杂。写代码的时候，功能实现是第一优先级，安全性往往排在交付压力后面。一个登录接口，能验证通过就算完成，很少有人会主动去想“如果攻击者构造特殊参数会怎样”。代码审计和渗透测试能发现这些问题，但很多团队要么不做，要么上线前赶工期直接跳过。

我的判断是：安全左移这个方向是对的，但落地很难。让开发人员在写每一行代码时都考虑安全，不现实。更可行的做法是把常见漏洞模式做成自动化检查工具，集成到CI/CD流程里。人靠不住，工具靠得住——前提是工具本身有人在维护。

人的环节最容易被忽略

钓鱼邮件至今是最有效的攻击手段之一。不是因为它技术含量高，而是因为它绕过了所有技术防御，直接攻击人。你防火墙再厚、补丁再及时，一个员工点了附件、输了密码，前面的工作全白费。

安全意识培训搞了很多年，效果参差不齐。念PPT、看视频、做选择题，员工应付完就忘。真正有效的方式是实战演练——定期发模拟钓鱼邮件，点的人去补课，不点的人给个小奖励。听着简单，但坚持做的公司不多。

预防漏洞这件事，没有一劳永逸的方案。它是一个持续的过程：知道自己的资产、跟踪最新的威胁、及时修补、验证效果、再循环。停下来的那一刻，就是漏洞开始积累的起点。