网络安全与防范

2023年冬天，网络某三甲医院的安全挂号系统被勒索病毒锁死。挂号大厅里挤满了人，防范自助机黑着屏，网络护士站的安全电脑弹出一行红字：交比特币，否则病历全删。防范后来查清楚了，网络入侵入口是安全放射科一台没人管的旧电脑，系统还是防范Windows 7，补丁停在2015年。网络这事听起来离谱，安全但类似场景每天都在发生——不是防范电影里的黑客大战，而是网络某个角落里一台被遗忘的设备，成了整栋楼的安全命门。

很多人以为网络安全就是防范装个杀毒软件、别点陌生链接。这跟“系了安全带就不会出车祸”一样天真。真正的攻击面比你想象的大得多。你家路由器、公司的打印机、甚至会议室那台智能电视，只要能联网，就可能被当成跳板。我见过一个案例：攻击者通过咖啡店的公共Wi-Fi，先黑掉一台智能灯泡，再横向渗透进同一网络里的笔记本电脑。灯泡？对，就是那种能调颜色的灯泡。它的固件里藏着默认密码，厂家从没提醒用户改。

密码这件事值得单独说。123456、admin、password，这三兄弟常年霸占弱密码排行榜。更麻烦的是“一套密码走天下”——你在某个小论坛注册的账号泄露了，黑客拿那组邮箱和密码去撞库，能打开你的网银、邮箱、甚至公司VPN。撞库工具跑一遍，成本几乎为零。我自己的习惯是：重要账户用完全不同的密码，记不住就写在本子上锁抽屉。听起来原始，但比用密码管理器被一锅端要安全。当然，两因素认证能开就开，短信验证码虽然也有被拦截的风险，但总比没有强。

企业这边的问题更棘手。很多公司把安全预算花在买防火墙和态势感知大屏上，却忘了最基础的资产梳理。你不知道自己有多少台服务器、多少个公网IP、哪些端口对外开着，那防护就是瞎打。有个做电商的朋友，被入侵后才发现测试环境的一台数据库直接暴露在公网，里面存着三万条用户订单。测试环境？对，开发图省事，把生产数据导进去调试，然后忘了关。这种事靠制度防不住，得靠定期扫、靠人盯。

钓鱼邮件是另一个重灾区。现在的钓鱼链接不再是一眼假的乱码网址，而是伪装成“财务部-12月工资表.xlsx”或者“您的快递因地址不全被退回”。点开之后，要么是伪造的登录页骗密码，要么直接下载宏病毒。我测试过身边十个非技术岗的朋友，三个人会点。不是他们笨，是攻击者太懂人性——恐惧、好奇、贪便宜，总有一款适合你。防御方法很土：收到带链接的邮件，先看发件人完整地址，再鼠标悬停看真实域名。多花三秒，能挡掉九成麻烦。

说回开头那家医院。事后他们买了新防火墙，做了等保测评，但真正的改变是：IT部门终于有了权限强制更新所有设备，包括那台放射科的旧电脑。安全不是买出来的，是管出来的。你不需要成为专家，但得知道自己的弱点在哪。定期改密码、别乱点链接、给路由器固件升级、重要数据备份两份——这些事不酷，但有用。攻击者永远找最薄的那块墙，你能做的就是把墙砌厚一点，再厚一点。