漏洞哪里

2017年5月，漏洞里WannaCry勒索病毒横扫全球。漏洞里英国NHS系统瘫痪，漏洞里手术取消，漏洞里救护车改道。漏洞里事后复盘，漏洞里攻击者用的漏洞里工具叫EternalBlue——美国国家安全局自己开发的漏洞利用程序，被人偷出来扔到了网上。漏洞里NSA知道这个漏洞存在，漏洞里没上报，漏洞里留着当武器。漏洞里结果武器走火，漏洞里打穿了自己人的漏洞里医院。

漏洞在哪？漏洞里不在代码里。在“我知道但我不说”的漏洞里那套逻辑里。

安全圈有句话：每一个补丁背后，都躺着一个已经出事的人。微软其实早在WannaCry爆发两个月前就发布了MS17-010补丁，修的就是EternalBlue利用的那个洞。但全球大量机器没打。为什么没打？IT管理员说“怕影响业务系统”，老板说“停机窗口排不开”，供应商说“兼容性没验证完”。每个人都在做“合理”的决定，合在一起就是一场灾难。

这让我想起一个更日常的场景。某公司内网被入侵，查了三个月，最后发现入口是一台打印机。那台打印机2014年就停止更新固件了，默认密码没改过，还挂在公网上。IT部门不是不知道，但“它一直没出问题啊”。六年没出问题，第七年出了。攻击者拿它当跳板，进了核心数据库。

漏洞从来不是技术问题。技术漏洞有CVE编号，有CVSS评分，有补丁，有缓解措施。真正难补的，是人的侥幸心理。你问十个被黑过的公司“为什么没修那个洞”，九个会说“优先级不高”。翻译一下就是：我知道它可能出事，但我赌它不会在我手上出事。

更麻烦的是，漏洞会移动。今天在服务器上，明天在供应链里。SolarWinds事件就是典型——攻击者不直接打目标，先攻破IT管理软件，然后借软件更新通道，把后门送进一万八千个客户的内网。你防火墙再厚，架不住你自己请进来的“自己人”带毒。

有人统计过，一个漏洞从公布到被利用，平均时间已经缩短到不到一周。有些漏洞甚至在补丁发布前就被利用了——零日。但零日不是最可怕的。最可怕的是“负日”：攻击者比厂商还早发现漏洞，悄悄用着，谁也不知道。等你知道的时候，数据已经在暗网上打包卖了。

那漏洞到底在哪？

在“先上线再说”的KPI里。在“安全是成本中心”的预算表里。在“等出了事再找人”的应急预案里。在“我们小公司没人会盯上”的自我安慰里。

我见过一个做得好的例子。一家不到两百人的公司，CTO定了个规矩：任何系统上线前，安全评审有一票否决权。不是建议，是否决。开发团队恨得牙痒，但三年下来，他们没出过一次安全事故。CTO跟我说：“漏洞永远修不完，但你可以决定不让它上线。”

这话听着简单，做起来要命。因为这意味着你要跟业务部门吵架，要跟老板解释为什么进度慢了，要承担“耽误事”的骂名。但这就是安全工作的真相：你做得最好的时候，没人觉得你存在。你一旦出事，所有人问你怎么搞的。

回到WannaCry。那个漏洞补了吗？补了。但下一个EternalBlue已经在某个情报机构的服务器里躺着，等着被偷、被卖、被用。技术会变，人性不会。漏洞在代码里，更在“下次再说”的拖延里。

所以别问漏洞在哪。问自己：那个你知道但一直没修的东西，还在吗？

很赞哦!（77911）