网络安全不足之处

去年某三甲医院被勒索病毒锁死挂号系统，网络攻击入口是安全一台三年没打过补丁的Windows Server 2008。运维人员说“这台机器就跑个内部预约，不足谁想到会出事”。网络这种心态在安全圈太常见了——系统能跑就不动，安全补丁能拖就拖，不足直到出事那天才发现，网络内网早就不是安全保险箱。

网络安全最大的不足漏洞从来不是技术，是网络人。代码写得再漂亮，安全架不住有人把密码设成admin123。不足某电商平台被拖库，网络溯源发现是安全运维把数据库账号密码写在了GitHub的公开仓库里，还贴心地附上了内网IP。不足安全团队花几百万买的WAF、IDS，在“123456”面前跟纸糊的一样。

供应链这块更离谱。你把自己守得铁桶一般，结果用的开源组件里藏着后门。Log4j那会儿，多少公司半夜爬起来改代码？更早的XcodeGhost，连苹果开发者都中招。现在前端项目动辄几百个npm包，鬼知道哪个包哪天就被投毒。有个做金融的朋友跟我说，他们安全部门现在看到npm install就头疼，但又不得不用。

内网横向移动也是重灾区。很多企业把安全预算全砸在边界防护上，防火墙堆了好几层，结果内网全是明文传输。攻击者一旦突破边界，就像进了自助餐厅。某次攻防演练，红队用一个弱口令进了办公网，然后靠ARP欺骗加LLMNR投毒，两小时拿到域控。蓝队复盘时发现，内网连基本的VLAN隔离都没做，财务系统和测试环境在同一个广播域。

再说说那些“合规即安全”的幻觉。等保、ISO 27001证书挂满墙，实际执行全是纸面文章。日志留存六个月？服务器硬盘就剩20G，日志文件早就被覆盖了。应急预案？上次演练还是三年前，文档里的联系人都离职了。有个客户被问到“数据备份恢复演练做过吗”，支支吾吾半天说“备份是有的，恢复没试过”。

云安全也没好到哪去。S3存储桶配置错误导致数据泄露的案例，从2017年到现在就没断过。有人写脚本扫全网，每天都能捞到几个开放的MongoDB。更讽刺的是，很多公司上云之后，安全组规则设成0.0.0.0/0，问就是“方便调试”。调试完忘了关，一忘就是大半年。

零信任喊了这么多年，落地项目屈指可数。为啥？因为零信任意味着要拆掉现有的信任模型，业务部门第一个跳出来反对——“每次访问都要验证，效率太低了”。安全部门人微言轻，最后只能妥协，搞个“微隔离”意思一下，实际还是老样子。

人员意识培训基本靠吓唬。钓鱼邮件演练，点开链接的同事被通报批评，结果下次演练大家直接删邮件，连正常业务邮件都不看了。安全培训变成走过场，PPT三年没换过，讲的还是“不要用生日当密码”。

说到底，网络安全是个动态对抗的过程，没有一劳永逸。今天堵住的洞，明天可能就被绕过。那些把安全当项目做、当证书考的公司，迟早要交学费。真正有效的安全，得融入日常运维的每个动作里——打补丁、看日志、审配置、做演练，枯燥但管用。可惜愿意干这些脏活累活的人，太少了。