互联网安全风险评估

去年冬天，互联我帮一家做跨境电商的网安小公司排查服务器。他们的全风订单数据库在凌晨三点被拖走了整整40万条记录，包括客户姓名、险评电话、互联收货地址。网安攻击者没用什么高级漏洞，全风只是险评利用了一个两年前就修复过的Struts2框架漏洞。运维人员说：“我们以为没人会盯上我们这种小公司。互联”

这个“以为”就是网安大部分安全风险的源头。互联网安全风险评估，全风本质不是险评买多贵的防火墙，而是互联搞清楚三件事：你有什么、谁想要、网安他们怎么拿。全风

资产盘点比想象中难

多数公司连自己有多少个对外暴露的IP都说不清。开发部门临时搭的测试服务器、市场部用的第三方表单工具、离职员工没注销的VPN账号——这些“影子资产”根本不在IT部门的清单上。我见过一个案例，某教育机构的官网后台，管理员密码是“admin123”，而且直接暴露在公网。问起来，负责人说“那个站就放放新闻，不重要”。可攻击者拿到后台权限后，横向渗透进了内部OA系统，最终把学员缴费记录全打包了。

资产梳理不能只靠扫描器。得跟每个部门聊，问他们用什么工具、传什么数据、有没有外部合作方接入。这个过程很烦，但比事后被勒索强。

威胁不是抽象的“黑客”

具体到你的业务，威胁画像完全不同。做在线教育的，最怕的是竞争对手爬取题库；做金融的，担心的是内部人员导出客户征信；做游戏私服的，主要防DDoS和源码泄露。把“黑客”当成一个模糊的敌人，评估就会变成走过场。

有个做本地生活的小程序，老板一直觉得没人会攻击他。结果某天开始，大量虚假订单涌入，每单都用优惠券抵扣到0元。查下来是羊毛党写了个脚本，利用了他们注册接口没有频率限制的缺陷。这就是典型的威胁匹配错误——他以为风险来自外部入侵，实际来自业务逻辑滥用。

漏洞管理要接受不完美

没有系统是零漏洞的。关键是知道哪些漏洞可以被利用、利用后影响多大。CVSS评分高的不一定最紧急。一个需要物理接触才能触发的内核提权漏洞，在云服务器环境里优先级就低；而一个简单的SQL注入，哪怕评分中等，只要在核心业务接口上，就得立刻修。

我习惯用“攻击路径”来判断：从攻击者视角画一张图，从外网入口到核心数据，中间要经过几层？每层有没有检测和阻断？如果一条路径上全是“无认证+默认口令+内网互通”，那风险就是红的，不管漏洞数量多少。

人比技术难评估

安全评估最后都会落到人身上。开发人员有没有安全意识？运维会不会图省事开个临时端口？客服能不能识别钓鱼电话？这些没法用工具扫出来。我见过一个技术很强的团队，代码审计做得很好，但行政小姐姐在接到“税务局”电话后，把公司营业执照和法人身份证照片发了过去。三天后，公司域名被恶意转移。

评估人的风险，靠观察和访谈。比如问开发：“如果产品经理催你上线，但安全测试没做完，你会怎么办？”答案比问卷得分真实得多。

风险不是清单，是动态平衡

做完评估，你会得到一堆风险项。但资源有限，不可能全修。得跟业务方一起排优先级：哪些必须立刻处理，哪些可以接受，哪些需要买保险转移。这个过程没有标准答案。一个日活几百的小工具，和承载千万交易的核心系统，风险容忍度天差地别。

我自己的习惯是，每次评估后只定三个必须解决的行动项。多了执行不下去。下个季度再回头看，风险变了，行动项也跟着变。安全评估不是一年一次的考试，是持续的对账。

最后说个真实细节。那家被拖库的电商公司，后来在数据库前面加了一层WAF，又给所有员工做了钓鱼演练。今年三月，他们又收到一次攻击尝试，WAF拦住了。运维给我发消息：“这次没丢东西。”这就够了。