去年冬天，网络我帮一家做跨境电商的安全小公司看服务器日志。凌晨三点，整改有人用弱口令撞进了他们的和整后台，往商品详情页里塞了赌博链接。改措老板第二天才发现，网络Google已经给全站标了“危险”。安全那几天他们损失了大概四成订单——这比任何安全报告都更直接地说明：整改不是整改交差，是和整止血。

漏洞往往不在防火墙多贵，改措而在“没人管”。网络那家公司用的安全是默认管理员密码，离职半年的整改运营账号还活着。我让他们先做三件事：关掉所有远程桌面外网访问、和整把后台登录改成双因素认证、改措把离职人员账号全删。花了一个下午，没买新设备。之后三个月，再没出现过异常登录。小团队最容易犯的错，是把安全当“项目”而不是“习惯”。

整改方案得按业务节奏来，不是抄等保模板。我见过一家做医疗SaaS的，上来就买齐了WAF、堡垒机、数据库审计，结果开发图省事，把测试库和生产库放在同一台机器上，密码还是明文写在代码里。设备全白买了。我的做法是：先画一张数据流图，标出哪些接口碰用户手机号、哪些碰支付。然后从最要命的那条线开始改。比如把手机号加密存储，密钥放KMS，代码里只留引用。这一步做完，再谈网络层的事。

具体措施分四层，但不用死记。第一层是“进门”：所有后台强制MFA，SSH只允许密钥登录，默认拒绝。第二层是“隔离”：数据库不直接暴露公网，应用服务器和数据库之间加安全组，只开必要端口。第三层是“看见”：装一个轻量级HIDS，记录谁在什么时候改了哪个文件。第四层是“兜底”：每天自动备份，备份文件加密后传到另一个云账号，定期恢复演练。这四层里，最容易被跳过的是第四层。可一旦中了勒索病毒，前三个都救不了你。

有个细节值得说：很多公司把日志存本地，攻击者进来第一件事就是删日志。我建议日志实时推到另一个独立账号的存储桶，设置只写不删。成本一个月不到十美元。另外，别迷信“一键整改”工具。我试过某款扫描器，报了一百多个中危，结果一半是误报。人工复核比工具更重要。每周花半小时看登录失败记录，比装一堆花哨的仪表盘管用。

整改不是一次性动作。我自己的习惯是：每次发版前跑一遍依赖漏洞扫描，每月做一次账号权限复核，每季度模拟一次钓鱼邮件。去年有个客户，开发人员把AWS密钥提交到了GitHub，三分钟内就被爬虫扫到，开始挖矿。我们后来加了pre-commit钩子，禁止提交密钥。这种事，靠制度不如靠自动化。人总会犯错，但机器不会累。

最后说个真实对比。同一栋楼里两家公司，A买了全套安全产品，但运维嫌麻烦，把策略全设成“仅记录不阻断”。B只做了基础加固，但每周手动检查一次异常进程。半年后A被挖矿，B没事。安全不是比谁花钱多，是比谁更愿意每天花二十分钟做那些枯燥的检查。整改方案写出来容易，难的是把它变成肌肉记忆。从明天早上开始，先删掉那个默认账号吧。