2023年，软硬某大型企业的预防内网系统被攻破，黑客没有用任何0day，软硬只利用了一个三年前就公开的预防打印机固件漏洞。安全团队复盘时发现，软硬漏洞补丁早已发布，预防但负责维护的软硬工程师离职后，交接文档里只写了“系统正常”，预防没人跟进后续更新。软硬这台打印机成了整个网络的预防突破口。

这类事太常见了。软硬软硬件漏洞的预防预防，说白了不是软硬技术题，是预防管理题。技术手段就那些——补丁管理、软硬代码审计、渗透测试、安全配置基线——但执行层面总是掉链子。我见过不少公司，安全设备买了一大堆，防火墙、WAF、EDR堆成山，可连最基本的资产清单都理不清。你连自己有多少台设备、跑什么系统、装了什么软件都不清楚，谈何预防？

预防的第一道关口，其实是采购。很多团队买设备只看功能和价格，从不问厂商要安全白皮书，也不查CVE库里有几个该厂商的历史漏洞。有个朋友在制造业做IT，他们采购了一批工业控制设备，厂商官网连安全公告页面都没有，固件更新包要打电话找销售要，还得签保密协议。这种供应链上的盲区，后期再怎么加固都费劲。

再说开发环节。不少软件团队把安全测试放在上线前最后一两周，测出问题就加班改，改不完就带病上线，美其名曰“后续迭代修复”。可现实是，一旦上线，业务压力来了，这个漏洞很可能就永远留在生产环境里。我认识一个开发，他负责的接口有个SQL注入点，上线前就发现了，但产品经理说功能着急用，先上再补。结果这个接口在线上跑了两年多，直到被扫描工具扫出来才修。

真正有效的做法，是把漏洞预防嵌进流程的每个环节。代码提交时自动跑静态扫描，构建后做依赖库漏洞检查，测试环境模拟真实攻击路径，上线前核对安全配置基线。这些步骤听着繁琐，但自动化工具能分担大部分工作。关键是别嫌麻烦——一次数据库被拖库的损失，够买十年安全工具。

硬件这边更麻烦。很多设备固件是黑盒，厂商不公开源码，漏洞只能靠逆向分析发现。普通用户能做的，就是关注厂商的安全公告，及时更新固件，别用默认密码，关掉不用的端口和服务。我家里那台路由器，买来第一件事就是改管理端口、关WPS、更新到最新固件。邻居问我为啥这么折腾，我说你不想某天半夜发现自家摄像头在直播吧。

还有一类漏洞，纯粹是人造成的。有人把服务器密码贴在显示器边上，有人把内部API密钥传到GitHub公开仓库，有人收到钓鱼邮件就乖乖交出账号。技术防护再强，也防不住这种主动送人头。定期做安全意识培训，模拟钓鱼演练，比装再多杀毒软件都管用。

说到底，漏洞预防是个持续对抗的过程。没有一劳永逸的方案，只有不断更新的认知和习惯。你今天修了这个洞，明天可能冒出新的；你今天堵住了这个入口，攻击者明天会找别的路子。但至少，把基础工作做扎实，别让三年前的旧漏洞成为突破口——那种栽法，太冤了。