```html

如何降低被黑客攻击的可能性——名词解释

去年一个做独立开发的朋友，服务器被挖矿脚本塞满，低被CPU 跑满 100%，攻击网站直接 502。名词他检查了一圈，解释发现是何降黑客 Redis 没设密码，端口还裸奔在公网。低被攻击者扫到 6379 端口，攻击写了个定时任务，名词前后不到两分钟。解释这事跟技术高低没关系，何降黑客纯粹是低被几个基础名词没搞明白。

先从最常被忽略的攻击攻击面说起。攻击面不是名词你服务器有多少漏洞，而是解释所有能被外面摸到的入口总和——开放的端口、暴露的 API、员工邮箱、甚至公司WiFi。每多一个入口，就多一条被突破的路径。我见过一个团队，为了调试方便把数据库端口映射到公网，加了个“复杂”密码就以为没事。结果密码是 admin@123，字典跑三分钟就出来了。缩小攻击面不需要什么高级工具，关掉不用的端口，别让内部服务裸奔，比装十个安全软件都管用。

接下来说最小权限原则。这词听着像教科书，其实特简单：一个程序只需要读文件，就别给它写权限；一个运维只需要重启服务，就别给 root。很多入侵能造成大破坏，就是因为攻击者拿到的第一个低权限账户，居然能横向移动到核心数据库。Linux 里用 sudo 精细控制，数据库里给每个应用单独建账号，别图省事全用 root。我自己的服务器上，跑网站的账户连 /home 都进不去，就算网站被挂马，攻击者也翻不出什么花样。

然后必须提多因素认证（MFA）。密码这东西，再复杂也挡不住钓鱼和撞库。MFA 的意思是，除了密码，还得有第二样东西——手机上的动态码、硬件密钥、或者指纹。谷歌 2019 年做过统计，启用 MFA 后，自动化的撞库攻击成功率直接降到接近零。别用短信验证码，SIM 卡能被克隆。用 TOTP 应用（比如 Authy）或者 YubiKey。我自己的 GitHub、邮箱、云服务全开了 MFA，虽然每次登录多花五秒钟，但半夜能睡踏实。

补丁管理听起来无聊，却是最有效的防线之一。大部分被大规模利用的漏洞，补丁早就发布了。2017 年的永恒之蓝，微软在三个月前就推了补丁，但全球几十万台机器没打，结果被 WannaCry 一锅端。个人用户打开自动更新，企业用户得有资产清单，知道每台机器装了什么版本。别小看一个过期的 WordPress 插件，它可能就是整台服务器沦陷的起点。

“安全不是产品，而是一个过程。” —— 布鲁斯·施奈尔

最后聊零信任。这词被厂商炒烂了，但核心就一句：别默认内网就是安全的。传统模型里，你连上 VPN 进了内网，就能访问一堆东西。零信任要求每次访问都验证——设备是否合规、用户身份是否可信、行为是否异常。Cloudflare 的 Access 或者 Google 的 BeyondCorp 都是这个思路。对个人来说，别在咖啡厅连上 WiFi 就以为没人看你流量，所有敏感操作走 HTTPS，重要服务开二次验证，这就是零信任的朴素实践。

把这些名词串起来，降低被黑概率的路径其实很清晰：缩小攻击面 → 最小权限 → 强认证 → 及时打补丁 → 默认不信任。没有哪一步需要你是安全专家，但每一步都能把大多数脚本小子挡在门外。黑客也是挑软柿子捏，你比隔壁稍微硬一点，他们就换目标了。