去年一家做跨境电商的外网客户被拖库了，原因说出来有点丢人——运维图省事，安全把测试环境的防护数据库端口直接映射到了公网，密码还是措施弱口令。攻击者用脚本扫了两天，外网凌晨三点进去，安全早上七点数据已经挂在暗网论坛上卖。防护这事说明一个很朴素的措施道理：外网安全的第一道防线，往往不是外网被攻破的，而是安全自己没关好门。

暴露面管理这件事，防护很多团队做得稀里糊涂。措施资产台账靠Excel维护，外网新买的安全云主机没登记，离职同事开的防护临时端口没人回收。我的习惯是每季度做一次全端口扫描，拿Nmap跑一遍C段，跟内部CMDB对一遍。对不上的，要么补录，要么直接关掉。听着笨，但比任何花哨的态势感知平台都管用。有个做SaaS的朋友更狠，他们用自动化脚本每天凌晨扫自己的公网IP段，发现新开的端口就自动发工单，两小时内不确认就强制封禁。效果很好，误报率也不高。

边界防护层面，WAF和防火墙是标配，但配置质量参差不齐。见过太多WAF只开了默认规则，连SQL注入的常见变种都拦不住。我的做法是至少每周看一次WAF日志，把误报和漏报分别整理出来，针对性调规则。另外，别迷信云厂商的默认安全组。默认安全组通常只拦几个高危端口，剩下的全放行。自己动手，按业务实际需求写白名单，只开必要的端口和源IP。麻烦一次，省心很久。

再说说远程访问。VPN是常见方案，但很多企业的VPN账号跟内部AD打通后，没有做二次验证。一旦员工密码泄露，攻击者直接就能进内网。我们给客户做评估时，经常发现VPN账号还在用“姓名拼音+123”这种密码。加个MFA没那么难，TOTP或者短信验证都行，成本几乎为零，效果立竿见影。如果条件允许，把VPN换成零信任架构下的SDP方案更好，先认证再连接，端口都不暴露，攻击面小很多。

DDoS防护属于那种平时感觉不到、出事就要命的东西。小企业没必要买昂贵的清洗服务，但至少要把云厂商提供的基础防护打开。有些云平台默认关闭DDoS基础防护，需要手动在控制台勾选。另外，DNS解析层面可以做点文章，比如用多家DNS服务商做冗余，或者开启DNSSEC。虽然不能完全防住大流量攻击，但能争取到切换和响应的时间。

日志和监控这块，很多团队是缺失的。外网资产被扫描、被尝试爆破，这些行为在日志里都有痕迹，但没人看。我的建议是至少把防火墙和WAF的告警接入到企业微信或钉钉机器人，设置合理的阈值。比如五分钟内同一IP触发50次拦截规则，就自动推消息。不需要7×24小时盯着，但出了问题能第一时间知道。有一次客户就是靠这个发现有人在批量试VPN账号，及时封了IP，避免了后续的横向移动。

最后说个容易被忽略的点：外网资产的信息泄露。GitHub上搜公司域名，经常能翻出员工误提交的API密钥、数据库连接串。还有招聘网站上的JD，把内部系统架构和技术栈写得清清楚楚，攻击者按图索骥就行。定期做一次开源情报收集，清理掉这些暴露的信息，比装十个安全设备都实在。安全这件事，很多时候不是技术问题，是习惯问题。