网络安全打油诗

上周三凌晨两点，手机突然狂震。安全群里炸了锅——公司测试服务器被挖矿木马端了，打油CPU飙到800%。网络值班的安全小王说，他就点了个“发票.zip”，打油解压后啥也没看见，网络但机器已经开始疯狂往外发包。安全这事不新鲜，打油可每次发生都像一记闷棍。网络我盯着屏幕上的安全流量图，脑子里蹦出几句顺口溜。打油

这八句听起来像老太太唠叨，可每一条背后都是真金白银的教训。去年某医院系统被勒索，起因就是一台没打补丁的Windows 2008服务器，永恒之蓝一穿一个准。黑客要了三个比特币，院方拖了三天，最后数据全被加密，门诊停摆。你说这诗俗不俗？俗。管用不管用？真管用。

我干安全这行快十年，见过太多“我以为”。我以为内网很安全，结果一台中招的笔记本横向渗透，三天端掉整个域控。我以为员工不会上当，结果钓鱼邮件一发，财务大姐连U盾都插上了。人不是机器，总有犯困、走神、贪方便的时候。打油诗的好处就是——短、顺、好记。你让员工背《等保2.0标准》，他翻两页就睡着了；你给他发个顺口溜，他还能笑着转发到家庭群。

说个真事。我们楼下一家小外贸公司，二十来人，老板抠门，舍不得买防火墙。我路过他们办公室，看见前台姑娘的电脑桌面贴着张便签，上面手写着：“下班三件事：锁屏、拔U盘、关共享。”我问谁写的，她说行政大姐。那大姐五十多岁，不懂什么零信任，就知道“东西不放好会丢”。后来隔壁公司中招，他们毫发无伤。你说这是技术吗？是，也不是。技术最后都得落在人的动作上。

再扯几句打油诗里没写的。现在流行云原生，容器跑得飞快，可安全组配错一条，数据库直接裸奔在公网。我见过一个创业公司，图省事把测试环境的Redis端口开在0.0.0.0，还没密码。扫描器半夜扫到，第二天早上数据全被清空，黑客留了句话：“你的数据我帮你保管，打钱就还。”老板以为是内部人干的，查了半天日志，最后发现是公网扫描。这种事，打油诗里加一句“云上资源别乱放，安全组要设好”也不为过。

还有供应链。你代码写得再干净，引个第三方库带后门，全完。前年那个event-stream事件，一个维护者把权限给了陌生人，结果恶意代码进了几百万个项目。你防得住自己，防不住上游。所以我现在看到npm install都条件反射看一眼版本号。打油诗可以续：“开源组件要锁版，依赖更新看来源。”押韵不押韵另说，意思到了就行。

写到这里，天快亮了。小王在群里发消息说机器重装完了，数据从备份恢复，损失不大。我回了个“下次别手贱”。他发了个哭脸。其实谁没手贱过呢？我当年也点过“点击就送iPhone”的弹窗，好在那是台没联网的测试机。网络安全这事，说到底是跟人性较劲。你懒，你贪，你侥幸，黑客就笑。打油诗不解决根本问题，但它能在你点鼠标前那零点几秒，让你脑子里闪过一句“陌生链接你别点”。就这一下，可能就救了整个内网。

行了，我去补个觉。希望醒来别又看见“服务器CPU 100%”的告警。