云端部署安全八大实战法则：网络隔离与防护

文章配图，仅供参考

　　隔壁老陈剁骨头的声音一下一下，咚、咚、咚，跟敲我太阳穴似的。他家今天卖羊蝎子，骨头上还沾着暗红血痂，剁到第三刀时停了，朝我这摊扬下巴：“你那个‘隔离’，是跟我们肉档学的？挂个帘子就算分生熟？”

　　地上那摊水一直没干。不是漏水，是早上搬设备箱蹭掉的冷凝水，混着点灰，反光像块劣质锡箔纸。我蹲下去擦，手上的裂口又裂开了，血丝渗进指缝里，跟上次压货时划破的那道位置一模一样——没长好，就又撕开。

　　开档那一刻我就发现不对：安全组里漏了三条Ingress规则，全是22和3389端口直通公网，来源地址写的是0.0.0.0/0，旁边还标着“临时调试用”，落款人姓李——就是前年跳槽去AWS的那个小李。他走的时候顺手把权限策略导出成CSV发我邮箱，标题叫《云上最小权限实践V2.3》，附件里带了个空格没删干净。我点开过，但没细看。谁真信一个二批写的说明书啊。

　　收音机在放戏，粤剧，唱《帝女花》，“落花满天蔽月光”——调子倒对，就是破音刺耳，喇叭膜片噗噗地漏气。我按了两下音量键，没反应，线头松了，从插孔里翘出来半截铜丝。

　　后来查清了，这批货砸手里，不怪小李，也不怪文档。是二批厂商那边给的镜像模板，基础系统盘默认启用了SSH服务，还硬编码了密码字段，你删它重装一次，它下次拉镜像又给你加回来。我们压货压了三天，等他们打补丁，结果补丁包里附赠了个新漏洞，CVE编号都还没定，只有一行注释写着“修复随机数生成器缺陷（待验证）”。我盯着那行字看了两分钟，关掉终端，泡了杯茶。茶是冷的。

　　泡沫箱上写着别人的名字——“广源冻品·东莞”。不是我们的，是上家退货混进来的，箱角压扁了，胶带撕掉一半，露出底下印的蓝字。我懒得换箱子，就往上贴了张新标签，写了“内部测试·勿动”，结果新标签被空调冷风一吹，卷边了，飘起来半截，像招魂幡。

　　你说这八大法则站得住？站得住。站得比菜场鱼摊那块木砧板还稳——砧板天天剁鱼，劈开三道缝，照样垫着切。为啥？因为优胜劣汰。去年五月之后，三家合作的二批，两家换人了。一个是被客户现场拔网线，另一个嘛，是被自家运维半夜改掉密钥，连SSH登都不进去，只好重装整套环境。剩下那家？现在每天发日报，Excel表头带红色感叹号，列着每台ECS的NACL更新时间、安全组版本、以及——最关键的一条——当天是否触发过拒绝日志。他家表格里没一行空白，但我信不过那个感叹号，红得太过规整，不像人手填的。

　　我信的是另一件事：上个月有个老客来挑货，不是买云资源，是来问能不能帮他把旧机房的Windows Server 2003跑的ERP迁到云上。我说不行。他说那算了。转身走之前，从包里掏出来一沓A4纸，是手写的网络拓扑图，铅笔画的，边角卷了，还有咖啡渍。图上所有交换机都打了叉，旁边批注：“这个不能拆，它连着粮库温控。”我瞄了一眼就还他了。他临走把一张名片塞进我秤盘里，名片背面用圆珠笔写着“有事电话，别微信——微信会泄密”。我没存，但也没扔。秤盘上沾的泥还没擦，那张纸卡在泥缝里，露着半截名字。

　　我原以为隔离只是画圈圈，VPC画大一点，子网分细一点，安全组锁死一点——结果呢？你再锁，只要API网关后面那台老服务器还在跑PHP 5.2+MySQL 4.1的组合，它就自动变成你的DMZ边界，比任何防火墙都更诚实地暴露你的真实攻击面。什么叫防护？防护就是当你发现那台机器里藏着一个没打补丁的Webmin，而你第一反应不是封端口，是先把机房电闸拉了，再去翻交接清单找责任人签字。签字笔得是那种油墨干得慢的，不然墨迹一糊，就跟合同上那句“不可抗力除外”一样，永远擦不干净。

　　那只灯泡在晃。不是坏，是线路接触不良，电压不稳。每次晃，整个摊位的影子就在地上来回拖，像有人用脚在地上刮。它晃的时候，我看不见自己的影子，只能看见对面铁皮屋檐滴下的锈水，在水泥地上积成一小洼，映着天光，也映着灯泡摇晃的倒影。

　　老家那点事……唉，去年冬至我爸自己在家装宽带，运营商送的光猫带WiFi，他不会关，默认开启WPS功能，我姐手机连不上打印机，就照着他微信里别人转发的教程，点了光猫背后那个小黑键——结果我家IP被扫出来二十几个，其中两个连上了镇上卫生院的HIS系统外网接口。我爸到现在还不知道这事，只觉得网变慢了。我也没告诉他。有些东西，关得越晚，反而活得越久。

　　所以你现在问我下一步？先去把那三个0.0.0.0/0规则删了。删完别提交，拿支笔在本子上写三遍“不测不准”，然后——去问问新来的实习生，他笔记本里装没装Docker Desktop，有没有习惯性点“Share Drive”。要是点了，他本地那个C盘共享目录里，大概率躺着上个项目残留的config.yaml，里面明文写着数据库密码。这事我上周刚撞见。不是我们的人，是客户的外包，穿着工装裤，袖口还沾着泡面汤。

（编辑：航空爱好网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!