网络安全 四 系统漏洞 下

还记得那个凌晨两点，网络某银行核心数据库被拖走的安全新闻吗？事后调查发现，攻击者根本没用什么高深技巧，系统下只是漏洞利用了系统里一个存在了四年的旧漏洞——补丁早就发布了，但运维团队嫌重启服务器麻烦，网络一直没打。安全就这么拖着，系统下拖出了几百万条客户信息泄露。漏洞

系统漏洞这东西，网络最讽刺的安全地方在于：真正致命的往往不是那些刚被发现的零日漏洞，而是系统下那些已经公开了大半年、甚至好几年的漏洞“老熟人”。黑客圈管这叫“已知漏洞利用”，网络说白了就是安全捡漏。你猜怎么着？系统下某安全厂商统计过，超过60%的入侵事件用的都是已知漏洞，补丁发布至少三个月以上。也就是说，大部分企业不是被高精尖武器干掉的，是被一把早就配好钥匙的锁捅开的。

那为什么没人修？理由五花八门。有的说业务不能停，有的说测试环境不完善怕出问题，还有的干脆不知道自家系统里装了啥。这最后一条最要命。很多公司资产台账乱得像杂货铺，IT部门自己都说不清服务器上有哪些软件、什么版本。漏洞扫描器扫出一堆告警，一看全是“高危”，但没人知道这些服务到底跑在哪个业务上，于是干脆全晾着。等真出事了，再翻日志，才发现那台“没人认领”的服务器早被当跳板用了好几个月。

修补漏洞这事儿，其实跟家里修水管差不多。漏水的时候你嫌麻烦，拿胶带缠两圈凑合用。等哪天水压一大，整个管子爆了，淹的不光是自家地板，楼下邻居也跟着遭殃。系统漏洞也一样，单点被攻破，横向移动起来，内网就跟敞开了大门似的。有个案例我印象特深：一家制造企业，办公网和生产网物理隔离，觉得挺安全。结果攻击者先打穿办公网里一台老旧的打印服务器（漏洞是2017年的），然后通过运维人员的跳板机溜进生产网，把工控系统加密了。整个过程没用一个新漏洞，全是“老古董”。

不过也别把补丁想得太神。有些漏洞修了跟没修一样，因为根因在设计层面。比如某些协议天生就不安全，你打个补丁堵住一个口子，攻击者换个姿势又能进来。这时候光靠补丁不够，得考虑架构调整——该隔离的隔离，该升级协议的升级。但这话说着轻巧，做起来动辄几百万预算、跨部门协调，很多企业宁可赌一把。

还有个常被忽略的角落：第三方组件。现在谁写代码不是一堆开源库拼起来的？可很多人只关心自己写的业务逻辑，底层的库版本老得掉渣。Log4j那事儿闹得沸沸扬扬，多少企业排查完发现自己系统里嵌着十几个受影响版本，而且根本不知道哪些功能调用了它。这种依赖关系的“暗债”，比明面上的漏洞难处理多了。

说到底，系统漏洞管理拼的不是技术，是流程和耐心。你得有准确的资产清单，得有能快速验证补丁的测试环境，还得有愿意在凌晨三点爬起来打补丁的运维人员。最后这条最难，因为人是会偷懒的，而漏洞不会。它就在那儿趴着，等哪天你忘了它，它就咬你一口。

(责任编辑：休闲)