2017年5月12日，黑客英国国家医疗服务体系（NHS）的攻防电脑屏幕上突然弹出一个红色窗口，要求支付价值300美元的电书比特币。这不是黑客电影桥段，是攻防WannaCry勒索病毒的真实开场。短短几小时，电书全球150个国家的黑客20多万台电脑被锁死，医院手术取消，攻防工厂生产线停摆。电书一个漏洞，黑客加上一个从美国国安局泄露的攻防渗透工具，就掀翻了半个互联网。电书
这件事把黑客攻防的黑客本质暴露得很彻底：攻击者只需要找到一个缺口，防守方却要守住每一扇门。攻防听起来不公平对吧？电书但现实就是这么运转的。
攻击面：比你想象的大得多
很多人以为黑客攻击就是破解密码。太窄了。一个系统对外暴露的接口——网站表单、API、远程登录端口、员工邮箱、甚至前台那台连着内网的打印机——每一个都是潜在入口。安全圈有句话：攻击面就是你能被摸到的所有地方。问题在于，大多数组织根本不清楚自己有多少个“被摸到的地方”。
我见过一家中型企业做资产盘点，IT部门报上来47台服务器。实际扫描后发现，还有23台测试机、11台离职员工没交还的笔记本、以及3个没人记得的云存储桶暴露在公网上。这些“幽灵资产”就是攻击者的天堂。
漏洞利用：从发现到武器化，时间在缩短
漏洞从被公开到被利用的时间窗口越来越短。2015年这个数字大概是45天，到了2023年，平均不到5天。有些高危漏洞在补丁发布后几小时内就出现了在野利用。防守方打补丁的速度根本追不上攻击者写exploit的速度。
Log4j漏洞是个典型。2021年12月9日深夜，阿里云安全团队率先报告了Log4j2的远程代码执行漏洞。这个Java日志库被无数企业系统使用，攻击者构造一个特殊字符串就能在目标服务器上执行任意代码。接下来的两周，全球安全工程师都在通宵打补丁。有人形容那是一场“数字火灾”——火势蔓延极快，而你手里的灭火器数量有限。
防守方的困境：不是技术问题，是资源问题
大部分中小公司没有专职安全团队。一个运维工程师可能同时管着网络、服务器、数据库，顺带“负责安全”。这不是能力问题，是预算问题。买一套像样的EDR（端点检测与响应）系统，一年几十万起步。请一个靠谱的安全工程师，月薪三四万。老板算完账，觉得“我们没什么值得黑的”，于是安全投入永远排在最后。
直到被黑。
2021年，美国科洛尼尔管道公司遭勒索攻击，被迫关闭5500英里输油管道，美国东南部加油站排起长队。事后调查发现，攻击者进入系统的入口是一个废弃的VPN账号，没有开双因素认证。就这么简单。一个该关没关的账号，导致了一场国家级能源危机。
攻防不对等，但并非无解
攻击者的优势在于只需成功一次，防守者的优势在于——如果做对了几件关键的事，就能挡住绝大多数攻击。微软的统计数据显示，99.9%的被攻击账户没有启用多因素认证。换句话说，大多数入侵不是因为攻击者多高明，而是因为防守方连基础工作都没做完。
补丁管理、最小权限原则、网络分段、日志监控——这些听起来老掉牙的措施，至今仍然有效。WannaCry肆虐时，微软其实在两个月前就发布了修补漏洞的补丁。没打补丁的系统，成了牺牲品。
攻防的差距不在于谁更聪明，在于谁更勤奋、更系统、更愿意把枯燥的基础工作做到位。黑客每天都在扫描，你多久没看自己的日志了？