服务器安全审计：90%漏洞源于3类配置疏漏

　　上周在会议室跟三个甲方代表抬杠，空调水滴在会议记录本上，洇开一片墨渍。对方举着PPT说"90%漏洞源于三类配置疏漏"，我转着笔笑出声——这结论我近两个月审了七家公司的服务器，倒是有八成能对上，但最扎心的不是数据，是那句"优胜劣汰"：现在连安全审计都开始卷"二八定律"了？

　　第一类疏漏是权限配置。上周审某金融公司的数据库，运维组长的账号居然能直接删表——他说"方便紧急处理"，我盯着他转笔的手："去年你们被删的那300万条客户数据，也是紧急处理？"他愣住，简历在桌上转了半圈，露出背面咖啡渍。后来查日志才发现，这哥们三年前就升了管理岗，权限没降，离职的同事账号也没收，光是"ghost account"就翻出二十多个。最离谱的是，审计工具扫出来的高危端口，有半数是前运维总监为了"远程办公方便"开的，人早跳槽去对手公司了，端口还开着接外网。

　　第二类是日志配置。上个月帮某电商公司做等保，发现他们的Nginx日志只存了7天——不是因为磁盘不够，是运维觉得"太占空间"。我翻着他们近三个月的攻击记录："上周被刷的10万次SQL注入，现在连IP都查不到，怎么溯源？"对方主管挠头："我们以为防火墙能拦..." 后来在角落里找到被禁用的auditd服务，配置文件里写着"影响性能"，落款是2018年。最绝的是，他们把所有日志都存本地，没有异地备份——我原以为这种低级错误只存在于小公司，结果在某市值百亿的独角兽企业也见到了同样的操作，当时他们CSO的脸色比会议室里滴水的空调还难看。

文章配图，仅供参考

　　说到这儿突然想起前同事老张——那哥们去年跳槽去某大厂做安全架构，结果三个月就被优化了。原因是他坚持要所有服务器打全补丁，结果导致某核心业务系统宕机两小时。后来他跟我吐槽："领导说'稳定压倒一切'，漏洞可以慢慢修，业务不能停。" 我当时还笑他太轴，现在看，这不就是"三类疏漏"的温床吗？那些喊着"90%漏洞源于配置"的人，有几个敢真把所有权限收紧、日志存够、补丁打全？不过是拿数据当遮羞布，掩盖自己懒得改的懒政罢了。

　　会议室里空调还在滴水，对方主管突然问："那按你说，该怎么改？" 我指着他转笔的手："先把转笔停了——权限收归RBAC，日志存够180天，补丁打全且自动更新。哦对了，把你们那个说'方便紧急处理'的运维组长开了，他三年前开的端口，现在还在接外网。" 他愣住，简历上的咖啡渍在灯光下泛着油光。我起身时瞥见走廊有股消毒水味——大概是保洁刚拖过地，像极了某些公司安全审计后的"干净"：表面光鲜，底下全是漏洞。

　　对了，上周还审了家做医疗SaaS的公司，他们的数据库密码居然是"123456"——运维说"方便医生记忆"。我当场拍桌子："你们存的是患者病历！不是超市会员卡！" 后来发现更离谱的：他们的备份服务器和主库在同一机房，连UPS都是同一套。我原以为这种操作只存在于传说中，结果...算了，不说了，下周还得去审那家号称"等保三级"的互联网金融公司，听说他们的运维总监是我前同事——就是那个被优化掉的老张。不知道他现在会不会也在会议室里，指着PPT说"90%漏洞源于配置"，然后偷偷把空调温度调低，让水滴得更慢些。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!