系统漏洞的防范措施

2021年12月，系统Log4j2爆出远程代码执行漏洞，漏洞全球数百万台服务器在几天内被扫描、范措攻击。系统这个漏洞的漏洞根源不是某个程序员写错了代码，而是范措Java日志库中一个看似不起眼的JNDI查询功能被恶意利用。防范系统漏洞，系统核心在于理解漏洞产生的漏洞逻辑，而不是范措堆砌安全产品。

漏洞从哪来？系统多数情况下，它藏在开发者对输入的漏洞信任里。SQL注入、范措XSS跨站脚本、系统命令注入，漏洞本质都一样——程序把用户输入当成了可信指令。范措2008年我参与过一个电商项目，后端接口直接拼接SQL字符串，测试阶段没人发现问题，上线第三天数据库就被拖走了。修复方式很朴素：参数化查询。但代价是重写整个数据访问层。

输入验证是第一道闸门。白名单比黑名单可靠，因为攻击者的绕过手法永远比你列的黑名单多。比如文件上传功能，只允许.jpg和.png，检查文件头魔数，重命名存储，禁用上传目录的执行权限。这几步做下来，常见的webshell上传基本就被堵死了。别嫌麻烦，一次疏忽可能意味着整个服务器沦陷。

补丁管理是另一条命脉。很多被攻破的系统，漏洞在半年前就有官方修复。2017年WannaCry席卷全球，微软在两个月前就发布了MS17-010补丁。中招的机器大多是因为没打补丁，或者还在跑已经停止支持的Windows XP。我见过一家工厂的生产线控制系统，至今还在用Windows 2000，理由是“升级会影响生产”。这种权衡可以理解，但风险必须被量化——隔离网络、限制访问、定期备份，至少做到其中两项。

权限最小化原则经常被忽略。一个Web应用连接数据库的账号，不应该有DROP TABLE的权限。一个运维人员日常操作，不该直接使用root。2019年某云服务商的事故，起因就是一个拥有过高权限的API密钥被泄露。攻击者用它删除了大量客户数据。权限收紧后，即使密钥泄露，损失也能控制在有限范围内。

日志和监控不是万能的，但没有日志是万万不能的。入侵检测系统会报警，但前提是你得有人看。我建议至少对三类事件设置实时告警：非工作时间的登录、短时间内大量失败登录、敏感文件的异常访问。某次我们通过一条凌晨三点的登录告警，发现了一个被植入的后门账号，从告警到清除只用了二十分钟。如果等到第二天上班再查，后果难料。

代码审计和渗透测试要常态化。自动化扫描工具能发现常见问题，但逻辑漏洞还得靠人。比如密码重置功能，如果重置令牌没有绑定用户会话，攻击者就能通过枚举令牌重置任意用户密码。这种问题扫描器扫不出来，需要测试人员手动构造请求。我们团队现在每季度做一次内部对抗演练，红队和蓝队互掐，暴露的问题比任何安全报告都真实。

最后说一点，安全不是产品，是过程。买了WAF不等于高枕无忧，上了堡垒机也不代表内部威胁消失。真正有效的防范，是把安全习惯嵌入到开发和运维的每个动作里。写代码时多想一步输入是否可信，上线前多问一句权限是否过大，收到告警时多查一下背后原因。这些琐碎的动作，比任何昂贵的设备都管用。