2017年5月12日，漏洞进入一个普通的漏洞进入周五。英国国家医疗服务体系（NHS）的漏洞进入电脑屏幕上突然弹出一扇红色窗口，要求支付价值300美元的漏洞进入比特币。与此同时，漏洞进入全球超过150个国家的漏洞进入20多万台电脑遭遇了同样的画面。这不是漏洞进入电影情节，是漏洞进入"想哭"（WannaCry）勒索病毒的真实开场。

漏洞进入系统的漏洞进入方式，往往比我们想象的漏洞进入更简单。WannaCry利用的漏洞进入是美国国家安全局（NSA）开发的"永恒之蓝"工具，针对Windows系统的漏洞进入SMB协议漏洞。这个漏洞本身并不复杂——它允许攻击者在目标机器上远程执行代码。漏洞进入真正致命的漏洞进入是，微软早在两个月前就发布了修复补丁，漏洞进入但大量机构没有及时更新。医院、学校、企业，甚至政府部门的电脑，就这样被一个已知的漏洞撕开了口子。

我曾在一次安全会议上听一位工程师讲过他的经历。他所在的公司被入侵，起因是一个实习生用公司电脑下载了一款破解版的设计软件。那个软件安装包里藏着一个键盘记录器，悄悄运行了三个月。攻击者没有使用什么高级零日漏洞，只是利用了人的疏忽。漏洞进入的路径，有时不是代码层面的缺陷，而是流程上的裂缝。

另一个案例更让人哭笑不得。某家银行的内部系统被渗透，安全团队排查了所有网络边界设备，最后发现问题出在一台打印机上。这台打印机连接着内网，固件版本停留在2014年，存在一个远程代码执行漏洞。攻击者通过它作为跳板，横向移动到了核心数据库。打印机——谁会想到去更新打印机的固件？

漏洞进入的入口，常常是我们认为"不重要"的地方。一个未加密的API接口，一个默认密码的管理后台，一个忘记关闭的测试端口。攻击者不需要正面突破防火墙，他们只需要找到一扇没关好的窗。

我观察到一个现象：很多企业在安全建设上投入大量资金购买高级威胁检测系统，却忽略了最基本的安全卫生——定期打补丁、最小权限原则、网络分段。这就像给房子装了最贵的防盗门，却把钥匙插在门锁上。WannaCry事件中，如果那些机构及时安装了微软的补丁，损失会小得多。但现实是，IT部门往往人手不足，更新补丁意味着停机、测试、协调，这些成本在"可能不会出事"的侥幸心理面前，被一再推迟。

漏洞进入的过程，有时慢得让人察觉不到。一个被遗忘的VPN账号，一个离职员工未注销的权限，一个第三方供应商的弱密码。攻击者像水一样，沿着阻力最小的路径渗透。他们不着急，因为时间站在他们那边。

我写这些不是要制造恐慌。漏洞永远存在，系统永远不可能绝对安全。但我们可以改变对待漏洞的态度。把安全更新当作和消防演练一样重要的事，把权限管理当作和财务审计一样严格的事。漏洞进入系统，往往不是因为它有多高明，而是因为我们给了它太多机会。

那台打印机至今还在我脑海里。它安静地待在角落，没人注意，却成了整个入侵链条的起点。安全这件事，有时候就是要把每个角落都当回事。

(责任编辑：综合)