在给客户做渗透测试和安全评估时，我们发现绝大多数企业的安全问题不是出在高级黑客攻击，而是出在最基础的防护疏漏上。以下七个点最容易被忽视。
第一，弱口令。我们测试过的企业中，有60%以上存在管理员账号使用简单密码的情况，比如123456、admin888。建议强制要求8位以上混合密码，并定期更换。
第二，未修复的系统漏洞。很多企业服务器买来之后就没更新过补丁，Log4j、Heartbleed这类公开漏洞摆在那里，黑客工具一键就能打进来。
第三，邮件钓鱼。超过70%的入侵起点是钓鱼邮件，员工点了恶意链接或附件。需要定期做安全意识培训和钓鱼演练。
第四，数据库暴露公网。不少企业为了方便远程管理，把3306、1521等数据库端口直接暴露在公网上，很容易被爆破。
第五，缺少备份验证。备份策略写得很漂亮，但从来没真正恢复测试过。真出事的时候才发现备份文件损坏。
第六，第三方组件风险。网站用的开源框架、CMS、JS库存在已知漏洞，却没人跟踪升级。建议建立组件清单，定期扫描。
第七，权限过大。员工离职后账号没及时禁用，或者普通员工拥有管理员权限。遵循最小权限原则，定期审计账号权限。