永恒之蓝（EternalBlue）这个漏洞，何防恒本质上是止永微软SMBv1协议里一个缓冲区溢出缺陷。黑客利用它，蓝漏无需任何用户交互，洞进就能远程拿下Windows主机的入系控制权。2017年WannaCry勒索病毒横扫全球，何防恒用的止永就是它——150多个国家、数十万台电脑瘫痪，蓝漏医院叫停手术，洞进工厂生产线停摆，入系连ATM机都吐不出钱来。何防恒

但真正让这个漏洞变得“永恒”的止永，是蓝漏它在网络里潜伏的方式。它不像普通病毒那样需要你点开某个附件，洞进它是入系主动扫描、自动传播。只要你的机器暴露在网络上，没有打补丁，几秒钟内就可能中招。我见过不少企业，内网隔离做得看似严密，结果一台运维笔记本违规接入外网，带毒回内网，一夜之间整个生产系统全线飘红。

防止它进来，第一道防线其实是“关闭”。SMBv1这个老协议，在Windows 10和Server 2016之后的系统里默认不再安装，但很多老旧业务系统、打印机、摄像头管理软件还依赖它。你去控制面板里“启用或关闭Windows功能”，把“SMB 1.0/CIFS文件共享支持”前面的勾去掉，重启机器。这一步做完，等于把大门焊死了一半。别心疼那点兼容性，真出问题的场景，多半是十年前的设备，该淘汰就淘汰，留着就是给自己埋雷。

接下来是补丁。微软在2017年3月就发布了MS17-010安全更新，但讽刺的是，很多中招的机器连三月的补丁都没打。有人觉得“我装了杀毒软件”，可永恒之蓝走的是系统底层，杀毒软件在它面前就是马奇诺防线。补丁这事，得设成自动更新，别手动挑着打——你永远猜不到哪个漏洞会被利用。我见过最离谱的案例，某公司IT主管为了省流量，把系统更新全禁了，结果WannaCry爆发那天，全公司八百台机器，只剩财务科那台因为装了新软件被迫更新才幸免。

网络层面也要卡脖子。防火墙规则里，把135、139、445这些SMB相关端口对外全部封锁。内部网络，如果业务确实需要共享文件，那就划分VLAN，把需要互访的机器归到一个隔离网段，其他设备一概禁止访问。别嫌麻烦，安全这东西，越细越稳。2019年有个中型制造企业，就是靠这些端口策略，在一波勒索病毒攻击里全身而退——隔壁没做隔离的同行，硬盘直接被加密，数据恢复花了四十万。

最后说点实在的。打补丁也好，关端口也罢，都不如“最小化暴露”来得彻底。能不用SMB就别用，改用FTP、WebDAV或者云存储。系统账户密码，别用弱口令，永恒之蓝虽然不靠密码，但后续的横向移动工具——比如Mimikatz——会抓取内存里的明文密码。你就算堵住了SMB，人家用管理员凭据照样进来。这就像防盗门焊死了，小偷从窗户翻进来，你还得把窗户也锁上。

别相信什么“永恒之蓝已经过时”的说法。漏洞利用工具被公开后，就永远有人在尝试。2019年、2021年，甚至去年，我依然在应急响应里看到它的变种。它就像老房子的墙皮，剥落一次修补一次，但你不主动铲掉重做，它迟早还会漏风。真正的防护，不是等中招了再救火，而是平时就把这些基础工作做到位——关掉不用的服务，打好该打的补丁，封掉不该开的端口。这三板斧下去，永恒之蓝再凶，也进不了你的系统。