面对网络漏洞你是如何防范的

去年秋天，面对我帮一个做外贸的网络朋友处理过一次服务器入侵。对方通过一个两年前就没再更新的漏洞WordPress插件，往他的何防站里塞了博彩页面。发现的面对时候，Google已经给站点标了"危险"，网络流量掉了七成。漏洞这事让我重新梳理了一遍自己平时防漏洞的何防习惯，有些是面对踩过坑才养成的。

先说一个很多人忽略的网络点：漏洞不全是"被黑客攻破"那么戏剧化。大部分时候，漏洞是何防你自己把门留着的。我见过太多人图省事，面对数据库密码设成admin123，网络SSH端口用默认的漏洞22，后台登录地址就是/wp-admin。攻击者根本不需要什么零日漏洞，跑个脚本批量扫一遍就进来了。我自己的做法是，所有对外暴露的服务，端口能改就改，密码用密码管理器生成，长度不低于20位，大小写加符号混着来。麻烦吗？第一次设置麻烦，之后就是复制粘贴的事。

补丁管理是另一个重灾区。我有个习惯，每周五下午花二十分钟检查一遍所有在用的软件版本——路由器固件、NAS系统、服务器上的Nginx、PHP、数据库，还有那些不起眼的依赖包。去年Log4j那个事出来的时候，我连夜查了自己几个Java项目，发现其中一个老项目还在用2.14版本。那玩意儿藏在依赖树第三层，平时根本不会注意到。后来我装了个Dependabot类的工具，让它自动提PR提醒我升级。机器比人靠谱，尤其是半夜两点你不会想起来去查CVE列表。

网络层面，我在家里和服务器上都做了分段。智能音箱、摄像头这些IoT设备单独扔一个VLAN，跟存放工作文件的主机隔开。有次一个摄像头被爆出后门，我看了眼防火墙日志，那东西确实在往外发心跳包，但被规则挡在内网里出不去。这要是跟我的笔记本在同一个广播域，后果不好说。

还有一点，备份。不是那种"我有个移动硬盘插在电脑上"的备份。我吃过亏——之前中过一次勒索软件，加密了工作目录，等我发现的时候，同步盘已经把加密后的版本覆盖到云端了。现在我的策略是3-2-1：三份副本，两种介质，一份离线。每周日晚上自动跑一次全量备份到外接硬盘，那个硬盘平时不插电。听起来有点强迫症，但数据丢了没人替你哭。

最后说个心态问题。很多人觉得"我没什么值得被攻击的"。错了。攻击者不挑目标，他们扫全网，谁有洞就进谁。你的机器可能被用来挖矿、发垃圾邮件、当跳板攻击别人。我见过一台被入侵的树莓派，CPU跑满在挖门罗币，机主三个月都没发现，因为那东西平时就放在角落吃灰。

防漏洞这事，没有一劳永逸。你只能比昨天的自己多堵一个口子，比隔壁那台没打补丁的机器少一点吸引力。攻击者也是要算成本的，你让他觉得麻烦，他就换目标了。