全球WannaCry勒索软件攻击导致世界各地的医院、政府机构、公司和个人瘫痪，但这并非必然发生。这并不是天才黑客策划的伟大技术壮举。相反，它利用了各组织在处理安全问题上的懒散、拼凑的方式，以及美国国家安全局(NSA)和大型科技公司在互联网时代破坏安全方面扮演的糟糕角色。

事实上，这是一个好消息。因为这意味着阻止下一次全球恶意软件攻击不一定是不可能的。这里有五个步骤可以做到这一点。

1. 禁止国家安全局储存漏洞

此次勒索软件攻击建立在美国国家安全局(NSA)开发的一款黑客工具的基础上，由一个名为“影子经纪人”(Shadow Brokers)的组织窃取并公开发布。《纽约时报》指出，这次攻击“似乎是nsa首次开发的网络武器”网络罪分子对病人、医院、企业、政府和普通公民发动了攻击。

美国国家安全局的工具和勒索软件利用各种Windows版本的软件漏洞，包括Windows XP、Windows 7、Windows 8和Windows Server 2003。美国国家安全局的大部分工作就是这样做的:在操作系统中发现安全漏洞，然后设计利用这些漏洞的软件。

不过，当它发现这些漏洞时，通常不会告诉微软(Microsoft)等软件制造商。相反，它囤积了许多漏洞。这样一来，美国国家安全局的黑客工具将更有效，因为公司不会修补漏洞。奥巴马政府与美国国家安全局(NSA)达成了一项协议，迫使NSA披露部分(但不是全部)公司的安全漏洞。WannaCry勒索软件攻击就是基于这些堆积起来的漏洞之一。

微软总裁兼首席法律官布拉德·史密斯在一篇言辞激烈的博客文章中批评了美国国家安全局的这一做法。他写道:“世界各国政府应将此次袭击视为一记警钟。它们需要采取不同的方式，在网络空间遵守适用于现实世界武器的规则。我们需要各国政府考虑到囤积这些漏洞和利用这些漏洞对平民造成的伤害。”随后，他要求召开日内瓦数字会议，“包括要求政府向供应商报告漏洞，而不是囤积、出售或利用漏洞。”

他是绝对正确的。需要禁止政府机构囤积漏洞。一旦发现漏洞，他们应立即通知技术公司，然后这些公司可以写一个补丁来填补漏洞。

2. 要求公司向所有人发布安全补丁，而不仅仅是付费用户

今年3月，微软发布了一个安全补丁，以修补WannaCry勒索软件最终利用的漏洞。几乎可以肯定的是，在意识到影子经纪人窃取了利用它的黑客工具并可能公开发布这些工具之后，美国国家安全局(NSA)向该公司发出了有关这一漏洞的警告。

在WannaCry病毒发布并造成破坏后，微软随后发布了另一个安全补丁来关闭这个漏洞。该公司为此受到了赞扬，因为它让所有运行XP的人都可以使用这个补丁，尽管XP已经不再得到微软的支持。

这是正确的做法。但这不应该是一次性的;这应该是标准的操作程序。尽管目前微软还不支持XP，但该公司仍会为其发布安全补丁，但仅限于愿意为该服务支付额外费用的公司。这些补丁应该免费提供给所有人，而不只是能够负担得起的公司。微软的史密斯说，WannaCry攻击应该给政府敲响警钟，改变他们的行为。我同意。但它也应该给微软敲响警钟。

3.IT人员应该面对本可以避免的攻击的后果

WannaCry全球网络攻击揭示了全球IT员工令人吃惊的无能水平。安全补丁在攻击发生之前就已经有了，可以让他们的公司免受威胁。IT人员所能做的最基本的事情就是保证公司的安全，而做到这一点的最基本的方法之一就是确保安全补丁一旦发布就立即应用。

如果IT人员不能采取这种简单的行动，他们应该承担后果，包括解雇。

4. 采用自动更新

很多人尖叫，因为他们不喜欢Windows 10自动更新他们的电脑。是时候让他们忘记了。Windows和所有操作系统都应该自动应用安全更新，就像所有儿童都应该接种疫苗一样——保证每个人的安全需要一种群体免疫力。没有计算机是孤岛;任何被入侵的电脑都可能被用来攻击其他电脑。

所以不要再抱怨自动安全更新了。不包含安全特性的特性更新应该被推迟。但是当涉及到安全更新时，它们应该被自动应用，尽管应该允许用户选择安装它们的时间。

5. 政府必须减少盗版

WannaCry对中国的打击尤其严重，因为中国有大量的Windows软件是盗版的，而盗版软件通常得不到安全更新。问题不只是政府没有执行盗版法律。政府大肆炫耀，自己也使用盗版软件。政府运营的大学、执法机构、石油和电信公司等越来越多地使用盗版Windows。出于同样的原因，俄罗斯也遭受了重创。

BSA软件联盟的一项研究发现，在2015年，中国70%的软件和俄罗斯64%的软件没有得到适当的授权。在一项有先见之明的发现中，BSA指出，“作为BSA新的全球软件调查的一部分所做的一项分析发现，未经授权的PC软件的比率越高，用户遭遇潜在的破坏性恶意软件的可能性就越高。”

结果呢?如果各国政府想要阻止下一次全球恶意软件感染，就需要减少盗版。