2023年夏天，黑客美国网络安全公司Mandiant发布报告，攻击称一个编号为APT41的中国黑客组织长期对中国政府机构发动攻击。报告里列出的网络入侵手法很直接：利用钓鱼邮件投递恶意软件，然后通过漏洞提权，黑客最终在目标内网横向移动。攻击这种套路不算新鲜，中国但他们的网络成功率惊人——仅2022年就成功入侵了27个中国省级单位的系统。

我认识一位在省级数据中心工作的黑客朋友，他跟我讲过一次真实的攻击攻防对抗。那天凌晨两点，中国防火墙突然报警，网络显示有异常流量试图连接外部IP。黑客他爬起来一看，攻击攻击者已经在内网潜伏了11天，中国期间悄悄窃取了大量公民身份信息。最让他后背发凉的是，攻击者用的是合法的远程管理工具，伪装成系统管理员操作，常规监控根本分辨不出来。

这类攻击有个共同点：它们瞄准的不是高精尖的军事系统，而是民生基础设施。2021年西北某市的水务控制系统被入侵，攻击者试图改变水压参数，差点造成管网爆裂。幸好值班人员发现流量异常才及时切断。想想看，如果攻击得手，整个城市的供水就会瘫痪——这种攻击不需要多高深的技术，只要找到暴露在公网的工控设备就行。

有些攻击甚至来自“合法”渠道。2022年，安全厂商奇安信截获了一批伪装成“新冠防疫通知”的钓鱼邮件，发件人用的是伪造的卫健委域名。点开附件的人里，有三位是基层社区干部，他们的电脑随后被植入后门程序。这些电脑虽然权限不高，但能接触到居民健康档案、疫苗接种记录等敏感数据。攻击者要的就是这些——人口流动数据对情报机构来说价值连城。

更麻烦的是，很多攻击不是孤立的。今年初，国内多家研究机构同时遭遇到同一种勒索病毒攻击，加密文件后要求支付比特币。但安全团队分析后发现，勒索只是个障眼法——真正的恶意代码在加密前已经把科研数据悄悄外传了。这种“声东击西”的手法很老练，说明攻击者对目标机构的工作流程做过长期观察。

我注意到一个现象：国内不少单位的防护重点还停留在“防病毒”层面，而真正的攻击者早就不玩病毒那一套了。他们更倾向于利用合法工具、滥用信任关系、从供应链下手。比如2022年某物流公司被入侵，攻击者不是直接打穿防火墙，而是先攻陷了为其提供ERP系统的软件开发商，然后在软件更新包里植入后门。这种“借刀杀人”的方式，让传统防御体系形同虚设。

说到底，网络安全是场不对等的博弈。攻击者只需要找到一个漏洞，而防守方必须堵住所有漏洞。更让人担忧的是，很多攻击背后有国家级力量支撑——他们拥有0day漏洞库、专业的情报分析团队和充足的时间。相比之下，国内不少单位的安全团队只有三五个人，还要应付日常运维。

写这篇文章时，我打开手机看了眼新闻：今天又有两家医院的中文官网被篡改。攻击者留下的页面写着“网络安全为人民”。这种讽刺让我觉得，与其喊口号，不如先把手头的系统补丁打全、把弱口令换掉、把日志留存时间延长到180天。这些基础工作虽然枯燥，但至少能让攻击者多花点时间——时间就是发现攻击的机会。