防止信息安全漏洞的控制程序的审核

安全审核不是防止走过场。去年某银行上线新系统，信息序上线前三天，安全审核人员发现核心交易接口的漏洞鉴权模块存在逻辑缺陷——攻击者只需篡改请求头中的用户ID，就能直接以管理员身份操作账户。制程这个漏洞藏在一万多行代码里，审核靠人工肉眼根本看不出来。防止最后是信息序审核组强制要求开发团队用静态分析工具逐行扫描，才在演练环境中复现了攻击路径。安全

控制程序的漏洞审核，本质上是制程在跟“惯性”作对。开发人员习惯复用旧代码，审核运维人员习惯用默认配置，防止业务部门习惯给所有系统开同样的信息序端口。我见过一家创业公司，安全服务器防火墙规则半年没更新，新入职的运维顺手把测试环境的Redis暴露在公网，结果被挖矿程序盯上，CPU占用率飙到100%。事后复盘，他们其实有配置变更审批流程，但没人真正核对过规则列表。

真正的审核动作，应该像拆炸弹一样细。第一步，把控制清单拉出来，不是看文档写了什么，而是直接连到生产环境抓实际配置。比如密码策略，文档说“90天强制更换”，但数据库里查到的密码哈希，有一半是两年前的旧值。第二步，模拟攻击者的视角做穿透测试，别用那些扫描器自动跑一遍就算完，得手动构造畸形请求，试试能不能绕过WAF的过滤规则。第三步，查日志审计——不是看有没有告警，而是看告警之后有没有人响应。很多安全设备每天都在报警，但安全团队只挑“严重”级别处理，中级告警积压了三个月没人碰。

我印象最深的一次审核，是检查某政务系统的文件上传功能。开发组信誓旦旦说已经做了类型白名单校验，只允许jpg和png。审核员随手传了一个改了扩展名的PHP文件，服务器居然直接执行了。原因出在中间件配置上——Nginx把.php后缀的请求都转发给了PHP-FPM，根本没管文件内容是什么。这个漏洞如果被利用，整个服务器就沦陷了。你看，控制程序写得再漂亮，只要某个环节的配置跟实际运行环境脱节，全是白搭。

还有个容易被忽略的点：审核要盯“人的行为”而不是“系统行为”。某公司有严格的权限审批流程，但高管助理为了方便，长期把自己账号的权限借给外包人员用。安全审计日志显示，这个账号每周五晚上十点都会登录一次，下载大量客户名单。审核组调出登录IP，发现来自境外VPN节点，这才暴露了数据泄露风险。控制程序管得住机器，管不住人情，所以审核时必须抽查账号的活跃会话，比对登录地点和操作时间是否合理。

说到底，审核不是找茬，是给系统做年度体检。别指望一次性把所有漏洞都堵死，但每次至少解决一个致命伤。比如上个月我审一个物流平台，发现它们的API网关对请求频率没做限制，黑客可以无限次刷取订单信息。推动开发团队加了个简单的计数器，五分钟内超过100次请求就自动封IP。就这么个粗糙的临时方案，把最大的风险点先掐住了。后续再慢慢迭代成更精细的风控模型——审核的节奏应该是“先止血，再调理”，别一上来就要求完美方案，那样反而什么都推不动。

本文地址：http://www.79wt.cn/news/1207a0599874.html