服务器安全审计：90%漏洞源于三大配置疏漏

　　隔壁剁骨头的刀声又响了，震得我档口那灯泡直晃——这破灯装三年了，物业说换要收八十块人工费，我原以为能凑合到年底，结果上个月下雨返潮，灯罩里全是水，开灯就滋滋响，跟服务器漏电似的。说回正事儿，去年七月我接了个活儿，给一家做跨境电商的公司做安全审计，查完日志差点没气笑——九成漏洞就卡在三个配置上，跟咱挑货时总踩那几个坑一模一样。

　　第一个坑是“默认配置当宝用”。那公司新买了台防火墙，厂家出厂时开了所有端口，管理员倒好，连说明书都没翻，直接把设备插网线上——好家伙，开放了三百多个端口，其中八十多个是高危的。我原以为现在没人这么干，结果翻他们旧日志，发现三年前买的第一台防火墙也是这么配的，当时被黑客扫了端口，中了勒索病毒，赔了二十多万才把数据赎回来。这就像咱进货，供应商说“这批货最新款”，你连箱都没拆就摆摊，结果发现全是去年压货的返潮品，卖两天全烂手里。

　　第二个坑更离谱——“权限给得比亲戚还大方”。他们有个数据库管理员，账号能访问所有表，连财务系统的支付记录都能改。我问他为啥这么配，他说“怕哪天急用权限，再申请麻烦”。我翻他操作记录，发现这哥们上个月用这账号查过老板的工资条，还在测试环境删过生产数据——幸亏是测试环境，要是在生产环境，这公司早黄了。这就像咱让二批来档口挑货，你说“随便看，想拿哪箱拿哪箱”，结果他把你压箱底的精品全挑走，剩下的烂货全砸你手里，你还得赔笑脸说“下次再来”。

　　收音机里正放《锁麟囊》，我媳妇在旁边剥蒜，蒜皮掉秤盘上了——这秤盘上周刚校过，现在又偏了半两。第三个坑是“补丁打得比敷面膜还敷衍”。那公司服务器装的是Windows Server 2012，微软早停更了，结果他们还在用，说“稳定，不想折腾”。我查日志，发现去年三月微软发过个高危漏洞补丁，他们没打；五月又发一个，还是没打；到七月我审计时，服务器上挂着五个未修复的CVE漏洞，随便一个都能让黑客直接提权。这就像咱档口那冰柜，制冷剂漏了半年，你说“还能用，修要三百块”，结果某天半夜全化水，两千块的货全报废——修冰柜的钱能买十回制冷剂，你偏要省，最后赔得更多。

　　我跟他们技术主管说这三点时，他还不服气，说“我们每年花二十万买安全设备，怎么可能犯这种低级错误”。我翻出他去年七月的运维记录——上面明明白白写着“防火墙默认配置未修改”“数据库管理员权限未回收”“服务器补丁未更新”。他看了半天，憋出一句“可能当时太忙了”。忙？咱开档哪天不忙？早上五点去市场挑货，七点摆摊，中午边吃饭边理货，晚上收档还要盘账——可再忙，秤盘脏了也得擦，灯泡坏了也得换，不然顾客一挑刺，这单生意就黄了。服务器配置也一样，再忙也得把默认端口关了，权限收一收，补丁打一打，不然黑客一扫，全公司数据都得裸奔。

　　说到这儿我想起个事儿——上个月市场管理处来查消防，说我们档口电线乱拉，要罚款五百。我媳妇急得直跺脚，说“这电线用了五年了，从来没出过事”。管理处的人说“没出事是运气好，真着火了，你赔得起？”最后我们花了三百块买了线槽，把电线全规整了。服务器配置也一样，你觉得“默认配置没事”“权限大点方便”“补丁不打也稳定”，那是运气好，真被黑客攻了，数据泄露、系统瘫痪，赔的钱够买十台新服务器。

　　我原以为只有小公司会犯这种错，结果去年九月给一家上市公司做审计，发现他们也踩了这三个坑——防火墙默认端口全开，数据库管理员权限通吃，服务器补丁三年没打。我问他们CISO（首席信息安全官）为啥不改，他说“改配置要停机，影响业务；收权限要跟各部门吵架，麻烦；打补丁要测试，费时间”。我说“那被黑客攻了，影响业务不？跟董事会吵架不？赔钱不？”他沉默了半天，说“你说得对，我们马上改”。

　　现在这行情，做安全审计的越来越多，可真正能防住黑客的没几个——为啥？因为大家都盯着“高级攻击”“零日漏洞”，却忽略了最基础的配置问题。就像咱挑货，总盯着“新款”“爆款”，却不看货是不是返潮的、有没有虫眼、保质期还剩多久。服务器配置也一样，把默认端口关了、权限收一收、补丁打一打，能挡住九成的攻击——剩下的那一成，才是真正需要花大价钱防的。

　　剁骨头的刀声停了，我媳妇把蒜皮扫进垃圾桶，秤盘上的泥也擦干净了。我翻出手机，给那家跨境电商的技术主管发了条消息：“上次说的三个配置，改了吗？”他回：“改了，现在防火墙只开必要端口，数据库权限按最小化分配，补丁每月打一次。”我回了个“好”，心想：这单生意算是成了，下次他再找我，得涨点价——毕竟，能听懂“配置疏漏”的客户，比挑货时能看出返潮品的顾客，可少多了。

文章配图，仅供参考

（编辑：航空爱好网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!