2023年3月，网络某三甲医院的安全挂号系统被勒索病毒锁死，门诊停了四个小时。防护攻击者没用什么高深漏洞，论文就是网络通过一个未及时打补丁的VPN设备进来的。这件事让我意识到，安全很多单位的防护安全防线，表面光鲜，论文底下全是网络窟窿。

网络安全不是安全买几台防火墙就能解决的问题。我见过一家公司，防护硬件堆了几百万，论文结果运维人员图省事，网络把测试环境的安全默认密码留在了生产数据库上。攻击者扫到端口，防护试了三次就进去了。防护的核心在于人，技术只是工具。如果管理员连“最小权限原则”都懒得执行，再贵的设备也是摆设。

弱口令和未修补的漏洞，至今仍是入侵的两大入口。Verizon的年度数据泄露报告里，超过80%的黑客事件涉及弱密码或被盗凭证。去年某高校教务系统被拖库，两万学生的身份证号泄露，起因是一个毕业多年的老账号没注销，密码还是“123456”。这种事听起来离谱，但每天都在发生。我自己的习惯是：每个重要账户用不同密码，用密码管理器生成16位随机串。麻烦一点，但比事后补救划算。

网络钓鱼也进化了。以前是尼日利亚王子发邮件，现在攻击者会花几周时间研究目标公司的组织架构，伪造一封来自HR的“薪资调整通知”，附件是带宏的Excel。点开就中招。我测试过一家中型企业的员工，发送模拟钓鱼邮件，点击率23%。这意味着五个人里就有一个会打开可疑链接。技术防护能拦掉一部分，但最终决定是否点下去的，还是人的判断。

零信任架构这几年被提得很多。它的核心思想很简单：不信任任何内部或外部网络，每次访问都要验证。传统边界防护假设内网是安全的，可一旦攻击者突破边界，就能横向移动。零信任把这个假设推翻了。我参与过一个项目，把内部管理后台从“只允许内网IP访问”改成“每次请求都要验证身份和设备状态”，结果三个月内拦下了十几起内部人员的越权尝试。当然，零信任不是万能药，部署复杂，成本高，小团队可能吃不消。但方向是对的：默认不信任，持续验证。

数据备份是最后一道防线，也是最容易被忽视的。勒索病毒加密文件后，如果你有离线备份，直接恢复就行，不用付赎金。但很多单位的备份和原数据在同一个网络里，病毒一加密，备份也跟着完蛋。我建议至少保留一份离线副本，比如每周拷到移动硬盘上，拔掉存放。听起来土，但管用。2021年某车企被勒索，就是因为备份系统在线，攻击者顺手删了备份，最后只能停产两周。

安全防护没有终点。新的漏洞、新的攻击手法每天都在出现。今天管用的策略，明天可能就失效了。保持警惕，及时更新，定期演练，比任何单一技术都重要。我见过最离谱的案例：一家公司买了入侵检测系统，但从来不看告警日志，直到数据被挂到暗网上出售才发现。工具是死的，人是活的。不投入精力去运营，再好的设备也只是装饰。