上周三晚上十一点，网络我手机弹出一条阿里云短信：您的信息心服务器正在对外发起DDoS攻击。第一反应是安全诈骗短信，登录控制台一看，网络CPU跑满，信息心带宽跑满，安全安全组规则里多了三条我从未添加过的网络放行策略。冷汗瞬间就下来了——那台服务器上跑着公司三十多个客户的信息心备案网站。

排查结果很讽刺。安全漏洞出在半个月前我为了省事，网络给一台测试机开了root密码登录，信息心用的安全还是“Admin@123”这种密码。黑客扫到端口，网络爆破成功，信息心横向渗透到生产环境，安全种了挖矿木马。整个过程不到四小时。事后我盯着那台测试机的日志，攻击IP来自荷兰、俄罗斯、巴西，轮番轰炸，像流水线作业一样精准。

这件事让我彻底改变了对网络安全的看法。以前总觉得安全是防火墙、WAF、SSL证书这些“大件”，堆得越多越安全。实际呢？最脆弱的环节往往是最不起眼的配置习惯。一个弱密码，一个开放的端口，一次偷懒的权限复用，就能让所有昂贵的安全设备变成摆设。安全不是买来的，是管出来的。

另一个真实感受是：网络攻击没有“事不关己”这回事。我有个做跨境电商的朋友，公司总共八个人，去年被勒索病毒加密了全部订单数据，黑客开口要0.5个比特币。他们没交赎金，结果就是三个月的客户订单和物流信息全部丢失，直接损失超过二十万，还赔上了几个大客户的信任。小公司总觉得黑客看不上自己，实际上自动化攻击工具根本不挑食，扫到漏洞就打，打了就跑，你中招了它甚至不知道你是谁。

现在我自己养成了几个笨习惯。每台服务器强制密钥登录，密码口令存在密码管理器里，至少十六位随机生成；每周日凌晨三点自动备份数据库到异地对象存储，备份文件保留三十天；所有后台管理地址改成非标准端口，并且绑定IP白名单。听起来简单，但光是“密码管理器”这一步，就拦住了我过去80%的随意行为。

还有一点容易被忽略：人比系统更危险。公司里总有同事把公司邮箱密码设成和自己社交账号一样，钓鱼邮件点得比谁都快。我亲眼见过一封伪装成“工资条调整通知”的邮件，链接指向一个伪造的OA登录页，页面做得几乎一模一样，连域名都只差一个字母。要不是我刚好那天手滑点开看了一眼URL，根本发现不了。安全培训不是走形式，真的能把人从悬崖边拉回来——至少现在，我同事收到带链接的邮件会先截图发群里问一句“这个是真的吗”。

说到底，网络安全是一场持续对抗，不存在“搞定”的那一刻。我依然会犯错，依然会偶尔偷懒，但那次半夜的短信提醒让我明白：每一次侥幸都是在给攻击者递刀。把基本功做扎实，把习惯养好，比追求任何“黑科技”都管用。毕竟，黑客最怕的不是多贵的防火墙，而是你每次都老老实实改密码、打补丁、做备份。

(责任编辑：知识)