- 大多数网络攻击都利用人为错误：弱密码、网络钓鱼和不良的日常习惯。
- 更新系统、使用多因素身份验证、划分网络以及保护移动设备可以大幅减少攻击面。
- 完善的备份和事件响应计划在出现问题时起着至关重要的作用。
- 有效的网络安全结合了技术、清晰的流程以及贯穿整个组织的持续培训文化。
我们的个人生活和职业生活都已转移到线上，但我们保护自身安全的方法却并未始终跟上步伐。当我们发送电子邮件、管理网上银行或在社交媒体上分享照片时，每天都有成千上万种新的数字威胁出现，伺机寻找任何安全漏洞。
与普遍认知相反，大多数网络安全事件并非源于高科技、电影般的攻击，而是由于非常常见且大多可以避免的网络安全错误。从弱密码、危险的公共Wi-Fi网络，到过时的软件和缺乏备份，这些看似不起眼的日常错误都可能演变成个人、小型企业乃至大型公司的严重问题。
为什么网络安全失误代价如此高昂
这些数字令人震惊：每天都会检测到数十万种新的恶意软件变种，数百万条被盗的用户名和密码组合在暗网上流传。许多安全漏洞都是由于员工误点、在各处重复使用同一密码或连接了不安全的设备造成的。
在商业领域，尤其是在自由职业者和中小企业中，仍然普遍存在一种观念，认为“网络攻击只会发生在大公司身上”，但实际上，几乎一半的小企业都遭受过网络攻击。而最令人震惊的统计数据是：相当一部分遭受严重网络攻击的企业，由于经济、法律和声誉方面的影响，最终会在几个月内倒闭。
此外，《通用数据保护条例》(GDPR)、《个人数据保护和数据保护法》(LOPDGDD) 以及国家安全框架等法规都强制要求采取强有力的数据保护措施。一个简单的错误——例如，将数据库放在云端并使其可访问——就可能导致高达年收入 4% 的罚款、客户流失以及难以挽回的声誉损失。
鉴于以上种种原因，网络安全不再是可有可无的奢侈品，也不仅仅是“IT”问题。它必须融入企业战略，同时要认识到，人为因素仍然是最薄弱的环节，但也是最容易通过持续培训、清晰的流程和合适的工具来加强的环节。
弱密码和重复使用的密码：完美的攻击入口
网络安全领域一个经典的错误是在所有服务中使用极其简单或重复的密码。“123456”、“qwerty”或“password”之类的组合年复一年地出现在最常用和最容易被盗密码的排行榜上。
攻击者利用了两件事：一方面，使用容易被暴力破解的简单密码；另一方面，使用凭证填充攻击，即在数十个不同的网站上测试从某个服务泄露的用户名/密码集，因为他们知道很多人在电子邮件、社交网络、网上银行或企业应用程序上重复使用相同的密码。
在公司里，员工使用同一个密码登录个人邮箱、ERP系统和公司VPN，就像埋下了一颗定时炸弹。一旦其中一个平台被攻破，所有其他访问点都会自动受到威胁。如果该账户还拥有较高的权限，后果不堪设想。
解决方案在于承认人类记忆并非总是可靠的，并依赖工具和策略：使用长密码（至少 12-14 个字符），每个服务使用不同的密码，并使用优秀的密码管理器进行管理。此外，为所有关键访问点启用多因素身份验证 (MFA) 可确保即使有人窃取了密码，仍然需要第二个因素（应用程序、短信、实体钥匙、生物识别等）才能访问。
身份验证薄弱且缺乏双重验证
与上述内容相关，另一个常见的错误是，当平台允许时却不启用双重验证。电子邮件账户、社交网络、云服务和管理面板多年来都提供多因素身份验证 (MFA)，但许多用户出于懒惰或担心“使登录过程复杂化”而忽略了它。
事实上，双重验证能够从源头上阻止绝大多数自动化攻击，即使是针对特定目标的网络犯罪分子，也难以得逞。就连主流服务提供商也承认，多因素身份验证几乎可以拦截 100% 的机器人攻击。
在移动设备领域，屏幕锁定也存在类似的问题：仍然有人不使用PIN码、图案、密码或生物识别技术来保护他们的智能手机。未锁定的手机很容易成为窃贼的目标，因为它可以直接访问电子邮件、社交网络、银行应用程序、文档和验证码。
设置一个强大的密码锁并避免使用过于简单的密码（例如 0000 或 1234）至关重要。如果再结合指纹识别或面部识别，就能在安全性和便捷性之间取得完美平衡。有些平台甚至允许你远程管理设备，并在设备丢失时擦除数据。
一旦用户点击或打开恶意附件，他们可能就会在虚假网站上泄露自己的登录凭证、下载恶意软件，或者允许攻击者控制自己的计算机。诸如鱼叉式网络钓鱼（利用用户的真实信息针对特定个人）、短信钓鱼（通过短信）或语音钓鱼（通过语音）等变种手段，使得这些骗局更具迷惑性。
在社交媒体和即时通讯应用中，网络犯罪分子还会利用短链接和“不寻常的”音乐、电影或照片下载网站。由于真实的网址不可见，因此更容易隐藏恶意页面，一旦用户访问这些页面，就会立即安装间谍软件、木马程序甚至勒索软件。
此处的防御措施结合了技术和教育：垃圾邮件过滤器、链接和附件的自动分析，但最重要的是，持续对员工和用户进行培训，让他们学习如何识别危险信号（拼写错误、不寻常的域名、紧急的数据请求、未经核实的银行账户更改等）。定期进行网络钓鱼模拟演练对于评估风险暴露程度和改进安全习惯非常有效。
软件版本过旧，补丁程序待处理，且用户帐户控制 (UAC) 已禁用
另一个常见的错误是不断推迟操作系统和应用程序更新。许多人会将“有新补丁可用”的通知标记为“稍后提醒”，而这些通知通常包含已知安全漏洞的修复程序，其中许多漏洞正被攻击者积极利用。
网络犯罪分子会查阅与系统管理员和开发人员相同的漏洞数据库。一旦制造商发布针对关键漏洞的公告和补丁，大规模扫描就会立即展开，寻找尚未更新的系统。如果公司延迟数周甚至数月才安装这些补丁，就等于在其网络中留下了一条畅通无阻的通道。
此外，禁用Windows 用户帐户控制 (UAC)等控制功能也是一种不良做法，因为每次进行更改时都会弹出窗口请求权限，这很烦人。但正是这种机制会在有人试图未经授权修改关键设置或安装软件时发出警报。如果关闭该机制，恶意软件就更容易得逞。
明智的做法是制定清晰的补丁管理策略：建立资产清单，尽可能自动更新，在预生产环境中测试敏感补丁，并将任何影响安全性的补丁列为最高优先级。对于中大型企业而言，一个用于部署更新和监控其状态的集中式平台几乎是必不可少的。
网络犯罪分子会查阅与系统管理员和开发人员相同的漏洞数据库。一旦制造商发布针对严重漏洞的公告和补丁，尚未更新的系统就会立即遭到扫描。
恶意软件、可疑下载和不安全的外部设备
恶意软件不再仅仅是那种会拖慢电脑速度的普通病毒。今天我们要讨论的是勒索软件，它会加密你所有的文件并索要赎金；木马程序，它们伪装成合法程序；远程控制木马程序（RAT），它可以远程控制你的电脑；间谍软件，它会窃取你的凭证和银行数据；甚至还有加密劫持恶意软件，它会利用你电脑的处理能力来挖掘加密货币。
恶意软件的入侵途径之一是通过未经请求下载的“免费”软件或来自可疑来源的软件。那些警告你的电脑已被感染并诱导你安装所谓“神奇杀毒软件”的经典弹窗仍然很常见。实际上，这些所谓的“杀毒软件”本身就是恶意软件，甚至可以禁用合法的安全解决方案。
另一个风险来源是外部存储设备：例如U盘、移动硬盘或来路不明的存储卡，有人可能在办公室或活动中捡到这些设备，出于好奇将其连接到自己的电脑上。如果一个驱动器被“遗忘”在某个特定位置，并且其中携带了能够传播的恶意软件，那么它就可能感染整个网络。
在企业环境中，策略应该明确：如果不是企业设备或未经明确授权的设备，则不应连接。此外，所有外部存储介质在访问其内容之前都应使用最新的防病毒软件进行扫描，并且应限制关键机器上的 USB 使用。
公共Wi-Fi、配置不佳的网络和数字间谍活动
随着远程办公和旅行的兴起，许多人会在咖啡馆、机场或酒店等公共场所使用开放网络连接互联网。问题在于，公共 Wi-Fi通常不安全：如果没有额外的加密措施，网络流量很容易被拦截或篡改。
更糟糕的是，攻击者还会创建名称诱人的虚假接入点（例如“免费Wi-Fi”、“顾客自助餐厅”等）。当用户连接时，所有流量都会经过网络犯罪分子的计算机，这可以窃取用户凭证、注入恶意代码或将用户重定向到虚假网站，而受害者却毫不知情。
在公司里，内部网络划分不合理、路由器使用默认密码、不必要的端口开放以及防火墙配置不当等问题也十分常见。一旦攻击者获得初始入口点，任何此类错误都会助长其在网络中的横向移动。
最佳实践包括禁用公共 Wi-Fi 进行敏感任务，或者在必要时始终通过可靠的 VPN 连接，对所有流量进行加密。在企业层面，至关重要的是使用现代协议（例如采用 802.1X 身份验证的 WPA3），将访客网络与内部网络完全隔离，监控未经授权的接入点，并定期检查所有网络设备的配置。
不安全的云使用和糟糕的访问管理
云计算极大地简化了文件共享和协作工作，但也引入了一些新的常见错误：在云服务中存储敏感数据而没有进行充分加密、共享公共链接而没有进行控制，或者没有检查谁拥有读取或写入权限，这些都是非常常见的错误。
许多数据泄露事件的发生都是因为有人将存储桶、文件夹或云数据库暴露在外，没有设置密码或使用了默认凭据。在其他情况下，由于缺乏用户停用流程，即使员工已经离职，仍然可以访问存储库或管理面板。
与此同时，内部权限管理常常被忽视。用户拥有他们不需要的管理权限，服务帐户拥有完全访问权限，角色随着时间推移不断累积……所有这些都违反了最小权限原则，该原则指出，每个人应该只拥有完成工作所需的权限。
现代方法包括实施身份和访问管理 (IAM) 解决方案以及零信任模型，在这种模型中，任何访问权限都不能想当然，所有操作都会持续进行验证（例如用户身份、设备和位置、访问目标等）。此外，还应定期进行权限审查，实现员工入职和离职流程的自动化，并对关键资源的访问进行审计。
未受保护的移动设备和不受控制的自带设备 (BYOD)
智能手机和平板电脑已成为必不可少的工作工具，但许多公司仍然缺乏关于使用个人设备（BYOD）访问公司资源的明确政策。安装了未经验证的应用程序、未加密、未锁定屏幕或持续连接到不安全网络的移动设备，很容易成为攻击者的入侵入口。
移动恶意软件可以窃取凭证、监视通信、拦截验证短信，甚至入侵公司内部网络。由于这些设备上个人数据和公司数据混杂在一起，任何此类事件都会在法律和运营层面变得十分复杂。
为了最大限度降低风险，建议制定自带设备办公 (BYOD) 策略，其中应包含最低要求：强制加密、启用防病毒软件或系统自带保护、屏幕锁定、系统版本保持最新，以及禁止安装来源不明的应用程序。此外，配合移动设备管理 (MDM) 解决方案，可以集中执行策略、隔离个人数据和公司数据，并在设备丢失或被盗时远程擦除公司信息。
暴露的网络摄像头和缺乏物理隐私
一个较少被提及但却非常严重的问题是网络摄像头和麦克风的暴露。某些类型的恶意软件包含远程访问功能，攻击者可以在用户不知情的情况下打开摄像头，录制视频或音频，并监视对话、文档或个人习惯。
在许多笔记本电脑上，唯一的提示就是一盏小灯亮起，但有些攻击甚至可以操纵这些指示灯。用贴纸遮住摄像头有助于从视觉上判断，但您还需要知道如何禁用输入设备或通过操作系统管理它们。
在敏感环境中（例如行政办公室、处理机密信息的房间、研发区域），建议限制摄像头和麦克风的使用，或使用不带这些集成功能的设备，仅在真正必要时才连接外部设备。制定明确的公司政策可以降低技术风险，并减轻员工对在不知情的情况下被监控的担忧。
备份不足且缺乏应急预案
最令人痛心的错误之一，莫过于在事故发生后才发现备份不存在、不完整或无法恢复。例如，勒索软件正是利用了这一点：它会加密所有文件，如果没有可靠的备份，公司就会被迫支付赎金，而实际上却无法保证数据能够恢复。
为防止这种情况发生，必须遵循 3-2-1 原则：至少维护三份数据副本，分别存储在两种不同的介质上，其中一份异地存储（例如云端或其他数据中心）。备份应自动且频繁地执行，并进行加密以保护机密性，同时定期通过模拟恢复进行测试。
同样重要的是制定完善的事件响应计划。一旦检测到安全漏洞，时间至关重要：必须明确由谁来评估漏洞范围，谁来决定技术措施（隔离设备、限制访问、启动备份），谁负责与客户、媒体和监管机构沟通，以及如何记录所有信息以履行法律义务并从事件中吸取教训。
最成熟的组织会定期进行不同场景（勒索软件、数据泄露、关键服务中断等）的模拟，以测试计划、调整程序，并确保在关键时刻，没有人需要在压力下即兴发挥。
培训不足、文化薄弱以及对网络安全的误解
大多数网络安全事件的根源在于人为错误：点击、下载、配置错误或仓促的决定。尽管如此，许多公司的网络安全培训仅限于一次简单的演示或一份几乎无人问津的文件。结果是，员工不知道该如何应对，也不觉得自己是网络安全防御体系中的一员。
此外，还存在许多危险的误区：认为可以实现“100% 安全”，认为“如果我购买最好的工具，我就受到保护了”，或者将整个问题委托给 IT 部门，仿佛组织的其他部门没有任何责任。
有效的策略始于对绝对安全不可能实现的认识，网络安全与其说是一种产品，不如说是一种态度和一个持续的过程。它需要将预防（减少漏洞）、检测（快速识别异常行为）和响应（有效应对安全事件）相结合，并从每个案例中吸取经验教训，以改进策略和控制措施。
最常见的网络安全错误——弱密码、缺乏多因素身份验证 (MFA)、网络钓鱼、软件过时、网络不安全、云配置错误、移动设备未受保护、备份疏忽以及缺乏事件应对准备——有一个共同点：如果将安全视为组织日常运营不可或缺的一部分，那么只需做出相对简单的决策即可纠正这些问题。投资于清晰的策略、完善的技术实施，以及最重要的——一支训练有素且尽职尽责的员工队伍，是降低风险并在日益复杂的数字环境中自信前行的最明智之举。
