信息安全攻防技术

2021年，信息某大型连锁酒店的安全系统被攻破，开房记录、攻防客户身份信息在暗网标价出售。技术事后复盘，信息攻击者没用什么高深漏洞，安全而是攻防先黑进了一家外包客服公司的VPN，用弱口令登录，技术横向移动了三个月。信息酒店花了几百万买防火墙、安全入侵检测，攻防却栽在一个"admin/123456"上。技术这事说明一个尴尬的信息现实：信息安全攻防里，最贵的安全往往不是技术，而是攻防人。

攻防的本质是不对称的。防守方要堵住所有窟窿，攻击方只需找到一个。这就像你家里有十扇窗，全锁好了，但小偷只关心哪扇没关严。更麻烦的是，防守方通常不知道攻击者会从哪来、什么时候来、用什么工具。攻击者却可以慢慢摸，今天扫端口，明天钓鱼邮件，后天买个泄露的数据库撞库。时间站在攻击者那边。

我见过一家中型电商的运维日志。凌晨三点，有人用泄露的账号密码登录了他们的后台，没改数据，没删库，只是悄悄加了一个管理员账号。第二天正常上班，没人发现。那个账号潜伏了两个月，直到大促前夜，攻击者用它在支付环节植入了一段脚本，把用户付款金额里的几分钱悄悄转走。单笔金额小到没人注意，但量大了就是一笔巨款。这种"薅羊毛"式的攻击，传统安全设备根本拦不住，因为流量看起来完全正常。

防守方常犯的错是把安全当成产品采购。买一套WAF、装一个EDR、上个SIEM，就觉得万事大吉。但攻击者不跟你拼设备。他们拼的是信息差——你知不知道自己的资产暴露面有多大？有没有人偷偷开了个测试端口对外？离职员工的账号注销了吗？第三方供应商的接口有没有做鉴权？这些问题，扫描器扫不出来，得靠人一条条捋。

红队演练里有个经典场景：攻击者伪装成求职者，给HR发了一份带宏病毒的简历。HR点开，C2上线。整个过程没触发任何告警，因为流量走的是HTTPS，行为是"打开文档"，跟正常办公没区别。防守方要发现这种攻击，得靠终端行为分析、异常进程监控，甚至得靠员工的安全意识培训。但很多公司连最基本的邮件网关都没配好。

说回防守。真正有效的防守不是堆设备，是建立"假设已被入侵"的思维。日志集中管理、关键操作双人复核、最小权限原则、定期轮换密钥——这些听着老套，但能挡住八成以上的常见攻击。剩下的两成，靠的是持续监控和快速响应。我见过一个团队，每周做一次"紫队"演练，红队模拟攻击，蓝队实时防守，打完复盘，改流程、补漏洞。半年后，他们的平均响应时间从4小时压到了18分钟。

攻击技术也在变。以前是广撒网，现在是精准打击。供应链攻击、零日漏洞、AI生成的钓鱼邮件，门槛越来越低。一个脚本小子拿着现成的工具包，就能发起像模像样的攻击。防守方如果还停留在"装个杀毒软件就行"的阶段，迟早要交学费。

最后说个观察。很多数据泄露的根因不是技术不行，是流程太烂。开发把密钥硬编码在代码里，运维把生产环境密码贴在显示器上，管理员用同一个密码登所有系统。这些事，防火墙管不了，EDR也管不了。安全说到底是人的问题，技术只是工具。工具再好，人不用，或者用错了，照样白搭。