上周三凌晨两点，网络我盯着防火墙日志里一条异常外联记录，隐患来源IP指向公司财务部一台常年不关机的及管台式机。这台机器白天跑用友，理漏晚上居然在向一个南非的洞自地址发送加密数据包。排查后发现，查整是改报告三个月前离职的会计留下的一个“定时备份”脚本，里面嵌了后门。网络这事让我彻底明白，隐患网络隐患从来不在那些高大上的及管APT攻击里，而藏在没人愿意多看一眼的理漏角落。

我们总以为漏洞是洞自技术问题，其实多数是查整管理懒政。比如密码策略，改报告公司规定“至少8位含大小写和符号”，网络但行政部为了省事，把WiFi密码设成Admin@2024，还贴在茶水间冰箱上。更离谱的是，运维组三台测试服务器用同一个root密码，其中一台直接暴露在公网。我扫了一下，Shodan上能搜到我们至少五个不该露面的端口。这不是技术差，是压根没人管。

再说个具体的。上个月做内网渗透测试，我用一台未打补丁的Windows 7机器（市场部用来跑老版Photoshop）做跳板，十分钟拿到域控权限。原因很简单：那台机器没装EDR，管理员账号是administrator，密码是Company123。IT部门说“老机器兼容性差，不敢升级”。可安全漏洞不会因为你“不敢”就消失。后来我强制把那台机器隔离，换了一台Win10，市场部抱怨了三天，但至少现在域控日志里没再出现异常登录。

管理上的洞更隐蔽。比如权限回收，离职员工账号经常几个月不删。我查了人事系统，近半年离职的23人里，有11个账号还在活跃，其中两个还能访问共享盘里的客户合同。问HR，答复是“等他们交接完再停”。可交接期和权限期是两码事。后来我写了个脚本，每天同步HR的离职名单到AD，自动禁用账号。这事没跟任何人商量，直接干了。因为等流程，黄花菜都凉了。

还有外包人员。公司请了个兼职网管，他为了方便，在核心交换机上开了个Telnet，密码是123456。我扫内网时发现的，当场关掉。他后来抱怨“这样我干活不方便”。我说你干活方便了，别人进来也方便。这种事不能讲人情。

整改不是写报告，是动手。第一，把所有默认密码、弱密码全改掉，用脚本强制每90天换一次，且不能与上次重复。第二，内网扫一遍，关掉所有不必要的端口和服务，尤其是Telnet、FTP、SMBv1。第三，上EDR，老机器要么升级要么断网。第四，权限每月复核，离职当天账号必须失效。第五，日志集中收集，至少保留180天，别等出事才翻记录。

最后说个观察。很多公司买了几十万的防火墙，却舍不得花半天时间梳理资产清单。你连自己有多少台机器、跑什么服务、谁在管都不知道，谈什么安全？我现在的习惯是，每季度手动扫一次全网，把结果和上次对比。变化的地方就是风险点。这活很枯燥，但比看那些“AI安全态势感知”大屏实在得多。网络隐患不会自己消失，你不管，它就替你管——用最疼的方式。