修复系统漏洞的软件

杀毒软件厂商不会告诉你的修复系统一件事：他们卖给你的“安全”，很多时候只是漏洞让你感觉安全。真正在修补系统漏洞的修复系统，往往是漏洞那些藏在系统深处、你几乎不会主动打开的修复系统补丁管理工具。去年我帮一个朋友处理他的漏洞旧笔记本，Windows 7 系统，修复系统卡得连浏览器都打不开。漏洞他装了三款杀毒软件，修复系统全盘扫描一遍又一遍，漏洞结果呢？修复系统勒索病毒照样加密了他半年的工作文档。问题出在哪？漏洞不是病毒太狡猾，是修复系统系统本身有三十多个高危漏洞没打补丁，杀毒软件根本拦不住利用这些漏洞的漏洞恶意代码。

修复系统漏洞的修复系统软件，最核心的一类就是补丁管理程序。微软自己就有 Windows Update，但它经常被用户禁用，或者因为网络问题半途而废。第三方工具像 WSUS Offline、Patch My PC 这类，反而更可靠。我见过一个小型企业的 IT 管理员，他用 PDQ Deploy 给两百多台电脑批量打补丁，每周三下午自动推送，机器重启前弹个提示，员工点一下就行。三年下来，勒索软件在他们公司一次都没成功过。这不是运气，是补丁覆盖率达到 98% 以上的必然结果。

另一类容易被忽略的是漏洞扫描器。Nessus、OpenVAS、甚至微软自己的 Baseline Security Analyzer，它们不直接修复漏洞，但会告诉你哪扇门没锁。很多人把扫描报告当废纸，扫完就扔。我认识一个独立开发者，他每个月用 OpenVAS 扫一次自己的服务器，有一次扫出一个 OpenSSH 的旧版本漏洞，CVSS 评分 9.8。他当晚就升级了，第二天果然有 IP 在尝试利用那个端口。他说那一刻的感觉，比中彩票还刺激——当然，是反过来那种。

还有一类专门针对特定漏洞的微补丁工具，比如 0patch。它不修改系统文件，而是在内存里给漏洞函数打上临时补丁。微软停止支持 Windows 7 之后，0patch 还在给一些关键漏洞提供防护。我试过在虚拟机里装 0patch，它拦截了一个利用 SMB 漏洞的测试脚本，弹窗提示“已阻断”，而系统日志里连个事件都没生成。这种软件不追求大而全，只盯着几个要命的漏洞，反而更实用。

别指望一个软件解决所有问题。Windows Update 负责系统层，Chrome 和 Firefox 自带更新负责浏览器层，Java、Adobe 那些老古董得靠 Patch My PC 这类工具盯着。我自己的做法是：系统补丁用 Windows Update 自动，第三方软件用 Chocolatey 配合脚本每周升级，服务器上跑 Nessus 每两周扫一次。听起来麻烦，但比起重装系统、恢复数据、跟客户解释为什么文件打不开，这点麻烦根本不算什么。

最后说个反直觉的观察：很多漏洞修复失败，不是因为软件不好用，是因为人太懒。补丁推送了，用户点“稍后重启”，然后永远稍后。所以我现在给朋友装完系统，第一件事就是把 Windows Update 的活跃时间设成凌晨三点，重启策略改成“自动”。他们第二天早上看到登录界面，骂一句“怎么又重启了”，然后继续用。漏洞已经补上了，他们不知道，也不需要知道。

本文地址：http://www.79wt.cn/news/140f9299767.html