安全管理漏洞检讨书

三个月前，安全运维部的管理小王把一台测试服务器的root密码贴在了内部Wiki上。密码是漏洞`Admin@123`，有效期永久。检讨他说这样方便大家共享资源，安全省得每次都要找他要。管理

没人觉得这有什么问题。漏洞直到上周二，检讨那台服务器被挖矿程序入侵，安全CPU跑到了98%。管理更糟的漏洞是，它和财务系统在同一个VLAN里——安全日志显示，检讨攻击者横向移动了三次，安全差点摸到付款网关。管理要不是漏洞财务系统恰好做了双因子认证，这个月的工资可能就发到黑客账户里了。

事后复盘，问题根本不在小王。密码贴出来那天，团队里有六个人看到了，没人提醒他这不对。我自己也看到了，当时还想着“反正测试机，无所谓”。这种“无所谓”的态度，才是真正的漏洞。

漏洞扫描报告里写得很清楚，我们的补丁平均滞后47天。但没人去问为什么滞后——因为打补丁要重启服务，重启就要走变更流程，变更流程要填五张表，五张表要三个领导签字。于是大家默契地选择“等攒够一批再打”。结果呢？今年三月爆出的那个Apache漏洞，我们中了。黑客利用它挂了个后门，整整潜伏了11天，期间还改了两次root密码。

你说我们缺安全设备吗？防火墙、WAF、入侵检测，全都买了，花了上百万。但设备上线后，告警邮件每天几百封，运维嫌吵，直接设了个过滤器，把告警全扔进垃圾箱。安全团队倒是看了，但看不过来——三个人管着两千多台机器，每封告警都查的话，得加班到半夜。

最讽刺的是培训。上个月搞了次钓鱼邮件演练，发送了80封伪装成“薪资调整通知”的邮件，结果32个人点了链接，其中还包括一位部门总监。总监说：“我以为公司发的，抬头和logo都对。”他没说错，那封邮件确实模仿得很像——因为模板就是两年前真实发过的内部通知，被人从共享文件夹里翻了出来。

共享文件夹的权限设置也乱。我随手查了一下，有17个文件夹是“所有人可编辑”，里面躺着合同扫描件、员工身份证复印件，甚至还有一份没删干净的数据库备份。问就是“当初为了方便项目组协作”，但项目组早解散了，文件夹却一直挂着。

说到底，我们不是缺技术，是缺敬畏。安全这东西，一百次做得对，一次疏忽就归零。那台被挖矿的服务器上，后来发现了一个txt文件，里面写着：“Thanks for the easy root, guys.” 你看，黑客都知道我们有多好客。

现在小王调岗了，Wiki上的密码也删了。但我知道，只要没人把安全当成自己的事，下一个“小王”迟早还会出现。到时候，恐怕就不是挖矿那么简单了。