2023年冬天，网络安全我收到一条短信，网络安全说我ETC绑定的网络安全银行卡过期了，点链接重新认证。网络安全那个链接打开后，网络安全页面和某银行官网几乎一模一样，网络安全连客服电话都抄对了。网络安全我填了卡号，网络安全输到密码那一步突然停了——因为我想起来，网络安全我根本就没办过ETC。网络安全

这就是网络安全网络安全最真实的模样。它不是网络安全什么高深的技术对抗，更多时候，网络安全它就是网络安全一场心理博弈。攻击者不需要攻破防火墙，网络安全他们只需要攻破你的那几秒钟犹豫。

很多人觉得网络安全是IT部门的事，是程序员该操心的。但你想想，公司服务器再安全，财务大姐点开一个“电子发票”附件，整个内网就沦陷了。2021年某大型车企被勒索，起因就是一个员工在钓鱼邮件里填了VPN密码。技术防护做得再好，人的一个疏忽就是大门敞开。

我见过最离谱的案例是一家小公司，老板把密码设成“admin123”，还写在显示器旁边的便利贴上。他说反正公司小，没人惦记。结果被黑客扫到，数据库被加密，对方要两个比特币。他找我帮忙时还在问：“比特币是什么？”

安全圈有句话：安全不是产品，是过程。你买再贵的防火墙，不更新规则库，等于买了个铁皮箱子。你装了杀毒软件，从来不扫描，跟没装一样。我自己的习惯是每周五下午花二十分钟，检查系统更新、看看登录日志、把不用的账号删掉。这二十分钟，比任何“企业级安全方案”都管用。

另一个真相是：没有绝对的安全。我认识一个做渗透测试的朋友，他能在十五分钟内进大部分中小企业的内网。方法不复杂——先扫端口，找暴露在外的远程桌面，然后用弱口令字典跑一遍。很多公司的远程桌面直接开在公网上，密码是“公司名+123”。他说这不是技术活，是耐心活。

那普通人能做什么？三件事就够了。第一，密码别复用。你在A网站泄露的密码，黑客会拿去试B网站、C网站。用个密码管理器，或者至少把重要账号的密码设成完全不同的。第二，开双因素认证。短信验证码虽然也能被拦截，但比没有强太多。第三，别乱点链接。收到“账户异常”“中奖通知”“领导让你转账”，先打个电话确认。我每次收到可疑邮件，都会把鼠标悬停在链接上，看看真实域名是什么——十次有八次，域名拼写都是错的。

企业层面，最容易被忽略的是权限管理。很多公司给每个员工都开管理员权限，理由是“方便”。结果一个员工中招，整个网络被横向移动。正确的做法是最小权限原则——你只需要访问财务系统，就别给你服务器的钥匙。这事儿技术上不难，难的是跟业务部门扯皮。

还有个坑是第三方组件。2020年SolarWinds被攻破，影响了美国政府多个部门。问题出在供应链上——你信任的软件，它的更新包可能被植入后门。所以我现在看到“自动更新”都会多想一下：这个更新是从官方源来的吗？签名验证过了吗？

写这些不是要制造恐慌。网络安全没那么神秘，它更像开车系安全带——不是为了应付交警，是为了万一出事时能保命。你不需要成为专家，但得知道基本规则。比如别在公共WiFi下登录网银，比如旧手机别随便卖，比如收到“退款”电话先挂掉自己打官方客服。

最后说个我自己的教训。有次我图省事，把测试服务器的SSH端口开在了公网，密码设得挺复杂。结果三天后收到告警，有人在暴力破解。我赶紧关了端口，查日志发现对方已经试了上万次。从那以后，我所有服务器都只允许密钥登录，密码认证直接关掉。这事儿让我明白：安全不是你觉得没事，而是你做了多少防备。

网络世界没有围墙，只有锁。锁的质量参差不齐，但至少你得记得锁门。

(责任编辑：综合)