去年某电商平台被拖库，何防攻击者用的漏洞不是什么零日漏洞，而是攻击一个三年前就公开的Struts2漏洞。系统没打补丁。何防这事听起来离谱，漏洞但每天都在发生。攻击

漏洞攻击的何防本质就一句话：攻击者找到你系统里一个没关好的门，然后从那儿进去。漏洞门可能是攻击过期的软件组件、配置错误的何防数据库端口、一个忘了删的漏洞测试账号。防漏洞攻击，攻击核心不是何防堆砌安全设备，是漏洞把你所有的门找出来，该锁的攻击锁，该焊死的焊死。

先搞清楚你手里有什么

很多团队连自己跑了多少个服务、用了哪些开源库都说不清。你连资产清单都没有，谈什么防护？我见过一个创业公司，开发在云上开了台测试服务器，安全组全放行，跑了半年没人管。后来被人扫到，直接变成挖矿肉鸡。

资产梳理这事不性感，但必须做。服务器、域名、API接口、第三方组件、员工账号——全部列出来。别用Excel手动维护，用自动化工具扫。Nessus、OpenVAS这类漏洞扫描器能帮你把已知的窟窿先堵上一批。

补丁管理是基本功，但大多数人做不好

Log4j2那个漏洞爆出来的时候，多少公司连夜加班？可如果平时就有补丁管理流程，知道哪个服务用了Log4j、版本是多少、能不能热更新，响应速度完全不一样。

我的做法是：所有生产环境的依赖库锁定版本，用Dependabot或Renovate自动提PR。每周固定时间合并安全补丁。别攒着，攒到最后就是一次性大爆炸。测试环境先跑，没问题再上生产。这套流程跑顺了，90%的已知漏洞攻击跟你没关系。

输入验证不是可选项

SQL注入、XSS、命令注入——这些老掉牙的攻击方式至今还在OWASP Top 10里。原因很简单：开发图省事，直接把用户输入拼进SQL语句或者系统命令。

我审过一段代码，登录接口的username字段直接字符串拼接进查询。攻击者输入 ' OR '1'='1 就能绕过密码。修复方案也简单：参数化查询。所有用户输入必须经过验证和转义，白名单优于黑名单。别自己写过滤函数，用成熟的框架和库。

最小权限原则，别让一个漏洞毁掉整个系统

假设攻击者通过一个Web漏洞拿到了shell，如果你的数据库密码就写在配置文件里，而且这个账号有drop table权限，那完了。但如果数据库账号只能读写特定表，攻击者能做的事就有限。

容器化部署时尤其注意：别用root跑进程，挂载文件系统设成只读，网络策略限制进出流量。Kubernetes的NetworkPolicy配好，一个Pod被攻破不代表整个集群沦陷。这就是纵深防御——不指望每个门都牢不可破，但攻破一个门之后，里面还有锁。

监控和响应，别等用户告诉你被黑了

很多公司是被勒索软件加密了文件，或者用户数据出现在暗网上，才知道自己被入侵了。这中间可能隔了几个月。

部署WAF能挡掉一批自动化扫描和常见攻击。但WAF不是万能的，绕过方法多的是。更靠谱的是日志监控：异常登录、异常进程启动、异常网络连接。用ELK或者Splunk搭个简单的告警规则，比如“同一IP在1分钟内触发10次403错误”就发通知。别追求大而全的SOC，先把最基本的告警跑起来。

漏洞攻击不会消失。软件是人写的，人就会犯错。你能做的，是让攻击者的成本高于收益。打补丁、做输入验证、限制权限、加监控——这四件事做到位，大部分脚本小子和自动化扫描器就知难而退了。剩下的高级威胁，那是另一个话题。