今天翻到《纽约时报》那篇法国超市冷柜被攻击的报道，看完有点不舒服。原因并不是攻击有多高明，恰恰相反，攻击者干的那点活，跟我自己项目里最不想干的那部分是同一件事。先把事实摆出来：400 多家超市的制冷系统被入侵，大致是 300 家 Intermarché 和 Netto、80 家 Coopérative U、30 家 Monoprix；被盯上的不是超市自己的收银系统，而是制冷企业用来远程控制冷柜的那套软件。有门店最后把整批生鲜和冷冻食品全扔了，Coopérative U 那边给的估算是小超市几万美元、大超市 22 万美元上下，到现在也没有人认领。这篇笔记要记的是我读完之后顺手去扫自己网段扫出来的东西。
报道里有句话我抄了下来，说这类攻击需要“耐心和繁琐的操作”：找暴露在互联网上的设备、读旧固件、弄清楚哪个设置能造成破坏。没有零日，也没有一条能写进论文的利用链。Danfoss 那边的说法是，被影响的系统大多是老旧设备，早就不再收到安全更新了。我盯着这段看了很久。这说的是攻击者有多懒吗？不是，这说的是防守方那边有一堆东西没人认领，而找到这些东西，只需要耐心。
我一开始把这段读成“工控安全好可怕”，读到第三遍才反应过来自己该干的是什么，然后关掉页面去翻自己的仓库了。冷柜跟我没关系，但“一个装上去就再没人碰过、还留着远程入口的东西”跟我关系很大。我那个 side project 的 docker-compose 里就躺着一行：
ports:
- "8080:80" # 临时调试用，回头删
注释是我自己写的，两年半以前写的。当时想着“回头调完就删”，“回头”一直没来。这行到现在还在，8080 端口一直对着外网。
拆开看看一台设备到底是怎么被远程连上的，其实就两条路。一条是设备主动往外连，厂商的云端后台等着它回来；这条路 NAT 也拦不住，你在防火墙上什么端口都看不到，只能去厂商后台看有哪些会话在线。另一条是防火墙上开一个入站口，这条路你一定能看到，前提是有人真的去看规则表。很多“我们没开放任何远程端口”的说法，查的是第一张表，而设备走的是第一条路。
顺序上我是这么走的，你也可以照着试一遍：
- 先扫一遍自己手上的网段，把活着的设备列出来。
nmap -sn 192.168.10.0/24就够，不需要更复杂的参数，这一步的目的只是“知道有它”。 - 给结果加三列：这台是谁的、干什么用的、上次更新是什么时候。第三列填不出来的那几行，才是真正要处理的。
- 💡 对着厂商的支持列表核一遍固件版本。管理页面左下角通常写着版本号，型号对不上支持列表的，先按“无主设备”处理，别管它现在跑得好不好。
第三步最容易卡住，因为我这种半路接手的人经常连设备型号在哪看都不知道。上一次我是翻了半天，才在一个满是灰尘的塑料壳背面找到标签，拍照发到群里才有人认领。这一段也是问了人、翻了半天文档才搞清楚的，算不上什么可复用的经验，但确实提醒我一件事：认领不了的设备，不会因为你假装它不存在就消失。
报道里还有一句话我觉得该划重点：目前没有报道显示 AI 参与了这次攻击。原文里它只是一句澄清，但我读下来觉得这是整篇最有信息量的一句。现在谈 AI 安全，注意力基本都在“模型自己挖漏洞”“agent 全自动渗透”上，而现实里真正落地的这一起，是人花时间翻旧固件翻出来的。工具当然有用，找暴露设备那一步，现成的搜索引擎早就能批量干；但决定“改哪个设置能毁掉一整店生鲜”的那一步，得有人去看、去试、去承担试错的成本。报道里没说具体动了哪些设置，我也不打算猜。
我原本想在笔记里写“给这些设备加条防火墙规则就完了”。写到这儿自己把这句划掉了，太轻巧。这类设备真正的问题不是缺一条规则，是没人认领：它装在店里五年，装它的人离职了，厂商那边的对接人换了，出事的时候连门店自己都说不清一共多少台。规则是最后一步，清点才是第一步，而且是最不出成果的一步，它不发工资、不进周报，只有出事那天你才知道它值多少钱。
划重点：第一，先清点再加固，设备清单里“上次更新”填不出来的那几行，优先级高于任何一条防火墙规则；第二，远程维护的两条路要分开查，主动外连的去厂商后台看在线会话，开入站口的去防火墙规则表里按端口搜，别按设备名搜，名字八成对不上；第三，实在没法打补丁的老设备，至少挪到单独网段，别跟办公网和收银机待在一个广播域里。
这篇就记到这里。挑个下午扫一遍自己的网段，看看有多少台设备你叫不出名字，我上个月扫出来三台，其中一台是同事走之前留下的树莓派，还在跑一个我至今不知道密码的服务。这条也记下来了，下次应该用得上。