凌晨两点，安全某大厂的漏洞安全工程师老周被电话吵醒。对方是图片运维值班员，声音发颤：“周哥，安全生产库被人拖了，漏洞七百万条用户数据挂在暗网论坛上，图片标价三个比特币。安全”

老周后来查日志，漏洞发现攻击者用的图片根本不是多高深的手段。一台没打补丁的安全Jenkins服务器，默认口令还是漏洞admin/admin，对方顺着这台机器摸进内网，图片像逛自家后院一样溜达了四天。安全期间有三次，漏洞安全告警系统弹了红框，图片但值班同事以为是误报——因为那条告警在过去的三个月里每周都出现，大家早就看腻了。

这事听着像段子，但真发生在我朋友的公司。你看，多数人以为安全漏洞是那种藏在代码深处、需要顶尖黑客绞尽脑汁才能破解的精密机关。事实恰恰相反，绝大多数漏洞就摆在明面上，甚至被反复警告过，只是没人当回事。

我见过最讽刺的一个案例，发生在某银行。他们花了几千万买了顶级防火墙，硬件堆得跟机房里的服务器一样高。结果呢，一个外包开发的内部工具，把数据库连接串直接写在前端JS里——就像把家里保险柜的密码贴在防盗门上。渗透测试的小伙子用浏览器按F12，五秒钟就看到了明文密码，他后来在报告里写：“这不算漏洞，这是开门揖盗。”

更麻烦的是，漏洞这东西会“传染”。你修好自己这一环没用，供应链上任何一家小供应商被打穿，对方就能顺着信任关系爬进来。2023年那次某软件公司的数据泄露，源头居然是一家给它们做PPT模板的乙方，邮箱被钓鱼，然后攻击者用这个邮箱给甲方发了个“更新版报价单”，里面藏了木马。你说，这算技术问题还是管理问题？

我自己也干过蠢事。早年间写爬虫，图省事把API密钥放在GitHub公开仓库里，想着“反正没人看”。结果第三天收到一封邮件，对方用我的密钥跑了两个月云计算资源，账单来了我才发现。后来跟同行聊，他们几乎都有类似的“社死时刻”——有的把密钥提交到代码库，有的把生产环境的IP写进简历，还有的用公司邮箱注册了色情网站。

但话说回来，漏洞的本质不是技术缺陷，是人性弱点。程序员追求效率，于是跳过安全审查；运维贪图方便，于是禁用了双因子认证；老板为了赶上线日期，砍掉了渗透测试环节。每个决策单独看都合理，合在一起就织成了一张漏水的网。

有个老安全员跟我说过句糙理不糙的话：“安全漏洞就像墙上的裂缝，你永远堵不完。真正要紧的不是把每道缝都糊死，而是保证房子塌的时候，里面的人来得及跑出去。”他说的“跑出去”，指的是检测响应能力——你得知道攻击者进来了，并且能在他搞破坏前把他踢出去。

可现实是，大部分公司连“知道有人进来”都做不到。他们的日志系统跑着，但没人看；告警邮件发着，但收件箱里躺着几百封未读。攻击者平均潜伏时间超过两百天，这个数字年年涨，说明什么？说明我们造墙的技术在进步，但看门狗全在打瞌睡。

回到开头那个被拖库的案例。老周后来复盘，发现攻击者其实在第七天就暴露了行踪——他在内网一台测试机上留下了工具包，杀毒软件报了毒，但那个告警被系统自动忽略了，因为策略设置的是“低风险自动处理”。低风险，这三个字害死人。在安全领域，根本没有低风险这回事，只有“还没爆发的风险”和“已经爆发的灾难”。

你问我怎么办？说实话，没有银弹。但至少有三件事是立刻能做的：把默认口令全换掉，把告警通知改成电话加短信而不是邮件，还有，别再把安全测试安排在项目最后一天。这三件事花不了多少钱，但能挡住至少一半的蠢贼。剩下的，就看你愿不愿意承认自己也懒、也贪方便、也抱过侥幸心理——承认了，漏洞就少了一半。

(责任编辑：知识)