网络漏洞如何防范

2017年，Equifax 因为一个 Apache Struts 的漏洞已知漏洞没及时修补，1.47 亿人的何防社保号、驾照信息全泄了。网络事后调查发现，漏洞补丁其实早就发布了，何防只是网络没人去装。这事最让人后背发凉的漏洞地方在于——攻击者利用的漏洞，在公开数据库里挂了整整两个月。何防

漏洞这东西，网络从来不是漏洞“会不会被利用”的问题，而是何防“什么时候被利用”。你放在公网上的网络每一台机器，从上线那一刻起，漏洞就在被扫描。何防我自己的 VPS 日志里，每天 SSH 暴力破解尝试少说几百次，多的时候上千。这还只是最无脑的攻击方式。

说防范，第一件必须做的事：把补丁管理当成刷牙一样的日常习惯。不是季度巡检，不是年度审计，是每周甚至每天。Chrome 为什么敢每四周发一个大版本？因为浏览器是攻击面最大的软件，漏洞利用的窗口期太短了。服务器上的 Nginx、OpenSSL、数据库，道理一模一样。你拖一周，攻击者的自动化工具已经跑完三轮了。

但光打补丁远远不够。很多漏洞压根不是“代码写错了”，而是配置问题。举个例子：

这种策略在 AWS 控制台里点两下就能配出来，但它等于把仓库门敞开，还贴了张“随便看”的纸条。Verizon 每年发布的 DBIR 报告里，配置错误一直排在前三。所以我的习惯是：任何云服务上线前，先用 ScoutSuite 或 Prowler 扫一遍。别信自己的记忆力，信工具。

再说一个容易被忽略的点——依赖链。你写的代码可能只有 200 行，但 node_modules 里躺着 800 个包。Log4j 那次，多少团队连夜加班，就因为一个日志库。我的做法很粗暴：生产环境用 npm audit 或 pip-audit 卡在 CI 里，有高危漏洞直接构建失败。烦是烦了点，但比出事之后写事故报告轻松多了。

身份认证这块，密码早该进博物馆了。不是说明文密码不好，是人的记性太差。我见过太多人用 CompanyName2024! 这种密码，然后在五个网站重复用。撞库攻击根本不需要什么高技术，拿泄露的库跑一遍就行。SSH 密钥、硬件令牌、Passkey，哪个都比纯密码强。至少给管理员账号开个双因素，别让 admin/admin 这种组合出现在生产环境。

网络层的东西反而简单些。防火墙规则别写 0.0.0.0/0 放行所有端口，数据库别直接暴露公网，内网服务之间做微隔离。我见过一个创业公司，Redis 没设密码直接绑在公网 IP 上，结果被挖矿脚本塞满了。问他们为什么这么干，回答是“方便调试”。调试完倒是关掉啊。

日志和监控是最后一道防线。不是等出事之后翻日志，是让日志主动告诉你“有人在干坏事”。比如 SSH 登录失败次数超过阈值就告警，Web 应用突然出现大量 404 可能是目录扫描，数据库查询量半夜暴涨可能是数据被拖。这些规则不难写，难的是有人看。我自己的做法是：告警直接发到手机，重要级别高的用电话叫醒。被吵醒几次之后，你会发现自己把系统加固得越来越好了。

说到底，漏洞防范没有银弹。它是一个习惯组合：补丁要快，配置要严，依赖要查，认证要强，日志要盯。每一条单独看都不复杂，难的是日复一日地执行。攻击者只需要找到一个缺口，防守方得堵住所有缺口。不公平，但这就是现实。

最后说个真事。有个朋友的公司被入侵，起因是离职员工的 VPN 账号没注销。攻击者用那个账号在内网晃了三个月，最后是财务发现异常转账才暴露。技术漏洞好补，流程漏洞难填。人走了，权限还在，这比任何 0day 都可怕。