内容摘要：上午十点，我打开防火墙管理后台，发现上周三凌晨三点十七分，有人从境外IP尝试登录运维服务器，一共试了四百多次。密码没被撞破，但日志里留下的扫描痕迹像一串脚印，明晃晃地踩在我们的边界上。 这不是个例。这

上午十点，网络我打开防火墙管理后台，安全发现上周三凌晨三点十七分，检查有人从境外IP尝试登录运维服务器，情况一共试了四百多次。通报密码没被撞破，网络但日志里留下的安全扫描痕迹像一串脚印，明晃晃地踩在我们的检查边界上。

这不是情况个例。这轮检查覆盖了全部十二个核心业务系统，通报外加三十七个关联子系统。网络结果比预想的安全要难看一些。

先说漏洞。检查中高危漏洞一共发现二十三个，情况其中两个可以直接远程执行命令，通报不需要任何用户交互。一个出在老旧的文件上传接口上——那个接口是2019年外包团队留下的，至今没人说得清它到底归哪个部门管。另一个是Tomcat管理后台的弱口令，账号admin，密码admin123。看到这个结果的时候，我沉默了一会儿。这种口令出现在生产环境里，就像把家门钥匙挂在门口脚垫下面，区别只是小偷有没有耐心掀开来看。

配置方面的问题更普遍。三十七台数据库服务器里，有九台的备份策略是“每天凌晨全量备份”，但备份文件没有做异地存储，全部堆在同一台存储设备上。这台设备还跟主业务共用了同一路电源。换句话说，机房一旦断电或者存储出现物理故障，备份和主数据会一起躺平。负责运维的小周跟我解释说，异地备份的带宽费用太高，领导没批。我理解预算紧张，但风险就摆在那里，它不会因为预算不批就自动消失。

人的因素反而是最让人头疼的。检查中发现，有几位同事把系统密码写在便签纸上，贴在显示器边框下沿。其中一张便签纸的位置，正对着走廊的监控摄像头——画面拉近，能看清每一个字符。还有个部门为了图省事，把VPN的二次验证码统一设置成六个零，并打印在共享打印机旁边的公告栏里。我问他们为什么这么做，回答是“每次输验证码太麻烦”。麻烦和安全之间，很多人天然地选择了前者。这种选择本身，比任何漏洞都更危险。

倒是有一件事让我稍微松了口气。钓鱼邮件模拟测试的结果显示，三百封测试邮件里，有二百七十七封被直接删除了，只有二十三个人点击了链接，其中八个人在伪造的登录页上输入了账号密码。这个比例比去年下降了近一半。说明大家的安全意识确实在提高，只是提高的速度，跟不上攻击手法的更新速度。

通报里最刺眼的一段是关于第三方运维人员的。检查发现，有两家外包公司的远程维护账号，权限范围比合同约定的大了整整一个量级。他们不仅能查看业务数据，还能修改部分配置参数。合同上白纸黑字写着“只读权限”，实际分配出去的却是“读写执行”。问了一圈，没人能说清这个权限是谁在什么时候放开的。权限这种东西，给出去容易，收回来就难了。它像借出去的钱，时间一长，对方会觉得本来就是自己的。

该说的都说了。接下来一个月，我会盯着这些问题的整改情况，每周出一份进度简报。该打补丁的打补丁，该改口令的改口令，该收回权限的收回权限。我不指望一次检查能解决所有问题，但至少，那些贴在显示器底下的便签纸，应该被撕掉了。