服务器有漏洞

凌晨三点，服务我的漏洞手机突然连续震动七次。监控系统推送的服务告警像一串急促的鼓点——某台承载客户数据库的服务器，CPU占用率飙到97%。漏洞登录一看，服务一个陌生进程正疯狂向外发包，漏洞端口扫描的服务痕迹清晰得刺眼。这不是漏洞第一次了，但每次发生都让人后背发凉。服务

漏洞就藏在三个月前那次常规更新里。漏洞运维同事图省事，服务跳过了两个补丁，漏洞想着“下周再说”。服务结果呢？漏洞攻击者顺着已知的CVE-2021-44228（就是Log4j那个老熟人）摸进了系统。讽刺的服务是，这个漏洞的修复方案网上随便一搜就有，连攻击脚本都是开源的。我们总以为黑客有多高明，其实多数时候，他们不过是拿着公开的漏洞清单挨个试。谁没打补丁，谁就是那个倒霉蛋。

那台服务器跑了六年，上面堆着几个老客户的ERP系统。数据库里存着工资表、身份证号、甚至还有采购合同的扫描件。攻击者可能只花了二十分钟就拿到了root权限，而我们的安全团队排查用了整整两天。事后复盘时发现，入侵日志其实早就留下了痕迹——异常登录发生在凌晨两点十七分，来自一个保加利亚的IP。值班监控的同事说，当时他看了一眼告警，以为又是误报，翻了个身继续睡了。

这能怪他吗？服务器每天的告警少说几百条，大部分都是没营养的噪音。安全设备堆了一堆，防火墙、入侵检测、日志审计，各管各的，互不通信。就像请了四个保安，一个看大门，一个守车库，一个巡逻花园，但没人管地下室那扇没锁的后门。攻击者偏偏就找到了那扇门。

修补漏洞本身不复杂，复杂的是人的决策。业务部门催着上线新功能，运维不敢在白天重启服务，只能把补丁排到深夜。结果一拖再拖，拖到攻击者替我们做了决定。那台服务器最后被强制下线，数据全部迁移到新环境。客户那边怎么解释？只能说“硬件故障，例行维护”。没人敢提真实原因——怕丢单，怕赔偿，怕担责任。

事后我在日志里翻到一条有趣的时间线：攻击者拿到权限后，并没有立刻动手，而是安静地潜伏了十一天。他可能是在摸清业务节奏，也可能只是懒。这十一天里，系统一切如常，没有任何异常告警。直到他开始加密文件、发勒索邮件，我们才如梦初醒。漏洞不可怕，可怕的是漏洞存在时，所有人都在假装它不存在。

现在每台服务器都强制装了自动补丁工具，每周三凌晨三点自动更新。那个被入侵的夜晚之后，我把监控告警规则重写了，把误报率从90%压到30%。代价是，真的攻击来临时，告警声会刺耳得让人睡不着觉。挺好，至少比翻个身继续睡强。