网络安全反面案例剖析

2023年夏天，网络某中型电商公司的安全案例运维人员收到一封邮件，发件人显示为"IT支持部"，反面主题是剖析"紧急：VPN账号即将过期，请立即续期"。网络邮件里只有一个链接，安全案例点进去是反面公司内部登录页面的翻版。他输入了账号密码，剖析页面跳转到一个空白页。网络他没在意，安全案例关掉继续干活。反面三天后，剖析公司数据库被拖库，网络超过40万用户的安全案例姓名、手机号、反面收货地址在暗网挂牌出售。攻击者用的就是他那个账号。

这不是什么高级攻击。没有零日漏洞，没有复杂的供应链渗透。一封钓鱼邮件，一个假页面，一个没多想的点击。整个链条里，技术只占三成，剩下七成全是人的问题。

很多企业买防火墙、部署EDR、做等保测评，钱花了不少，但员工的安全意识培训一年就搞一次，还是放个PPT让大家签字那种。我见过一家金融公司，安全预算八位数，结果行政人员把内部通讯录直接发到了微信群。问起来她说："我以为都是同事。"攻击者最喜欢这种"以为"。

再说个更早的案例。2017年，某省级运营商的内网被入侵，攻击路径说出来你可能不信——从一台打印机开始的。那台打印机连着内网，固件三年没更新，默认密码没改。攻击者通过它作为跳板，横向移动到计费系统。运维团队发现异常流量时，数据已经被打包传了六个小时。事后复盘，安全负责人说了一句话我印象很深："我们盯着服务器、盯着数据库，没人盯着打印机。"

这就是安全里的盲区效应。越是不起眼的设备，越容易被忽略。摄像头、门禁、打印机、甚至会议室里的智能音箱，只要联网就是入口。攻击者不挑最硬的骨头啃，他们找最软的那个点。

还有个案子让我一直记得。某游戏公司被DDoS攻击，流量大到带宽跑满。技术团队忙着清洗流量、联系运营商，折腾了六个小时才恢复。结果第二天攻击者直接找上门，开口要五个比特币。公司没给，攻击者又打了一轮。后来查出来，攻击者之前通过一个离职员工的VPN账号进了内网，摸清了业务架构和防护能力，DDoS只是明面上的手段，真正的杀招是勒索。离职账号没注销，这种事说出来都觉得低级，但每年都有。

这些案例看下来，问题出在哪很清楚。安全不是买来的，是管出来的。设备再好，策略再全，执行不到位等于零。钓鱼邮件能成功，因为没人教员工怎么识别；打印机被当跳板，因为资产清单里根本没列它；离职账号没注销，因为HR和IT之间没有联动流程。

我自己的判断是，大多数安全事件的根本原因不是技术不行，而是管理断层。安全团队和业务团队各干各的，IT和HR信息不同步，运维只关注线上服务不关注办公终端。攻击者恰恰就钻这些缝。

要改也不复杂。把资产盘清楚，包括那些"不起眼"的设备。把离职流程走严，账号权限当天回收。把钓鱼演练做成常态，别等出事再补课。这些事不需要多高的技术门槛，需要的是有人盯着、有人负责、有人检查。

安全这事，往往不是败在攻不破的盾上，而是败在没关好的门上。

(责任编辑：娱乐)