漏洞巡查表

漏洞巡查表不是漏洞一张纸，是巡查深夜两点半的机房，键盘敲击声和空调嗡鸣混在一起时，漏洞你手里那杯凉透的巡查咖啡。 我见过最狠的漏洞巡查表，贴在某个银行核心系统机房的巡查玻璃门上。A4纸被塑封过，漏洞边角卷起来，巡查上面密密麻麻列着三十七项检查点——从“防火墙规则变更审批单编号”到“中间件版本号与备案表是漏洞否一致”。每项后面是巡查日期、操作人、漏洞结果，巡查红笔画的漏洞圈和黑色签字笔的签名交错着。负责填表的巡查运维老周说过一句让我记到现在的话：“这表不是给领导看的，是漏洞给下个月可能接手的人看的。” 真话。漏洞这东西像水管渗漏，你堵住一个眼儿，水压会把旁边的锈蚀撑开。巡查表的价值不在“查”，而在“留下痕迹”——哪天系统被攻破了，你翻出三个月前的记录，发现那个端口早就标记过“异常”，但没人跟进，那这表就是追责的凭证，也是复盘的地图。我见过太多团队，漏洞扫描报告堆成山，CVE编号背得滚瓜烂熟，但真正出事儿时，谁也说不出“这个漏洞是什么时候进来的”。 但光有表没用，得有人真去填。有些单位的巡查表，每周五下午四点准时出现在钉钉群里，格式工整，字体统一，连标点符号都挑不出毛病。可你要是问填表的人“这个漏洞的利用条件是什么”，他得翻半天文档。这种表是给审计看的，不是给系统看的。真正的巡查，是那种你半夜被电话吵醒，爬起来改一条ACL规则，然后顺手在表上补一行备注——“临时封禁，周一复核”。这行字，比前面三十行都值钱。 我自己的习惯是，巡查表里必须留一栏叫“异常但不紧急”。这一栏专门记那些暂时不影响业务、但让你心里咯噔一下的小事——比如某个测试账号的密码策略没生效，或者某台测试服务器的SSL证书快过期了。它们不会触发告警，也不会让领导皱眉，但放任不管，三个月后就是漏洞。填这一栏的时候，我通常会写清楚“为什么没处理”和“什么时候该处理”，而不是空着或者写“无”。空着的表，就像没写的日记，等于没记。 说到底，漏洞巡查表是一份写给未来的备忘。它不性感，不炫技，甚至有点枯燥。但每一次真实的填写，都是在跟“侥幸”两个字较劲。你永远不知道下一次攻击会打在哪块短板，但你能做的，就是让每一块板子都留下被检查过的痕迹。就像老周说的：“这表填满了，我晚上睡觉才踏实。”——话糙，理不糙。