网警漏扫
网警漏扫
“漏扫”这个词，网警漏扫在网警的网警漏扫日常里，不是网警漏扫什么好词。它指的网警漏扫是漏洞扫描——一种自动化工具，沿着IP段爬过去，网警漏扫挨个端口试探，网警漏扫像查户口一样。网警漏扫可偏偏有时候，网警漏扫该扫的网警漏扫没扫到，不该扫的网警漏扫扫出一堆麻烦。上个月跟一个老网警吃饭，网警漏扫他夹着花生米说：“最怕的网警漏扫不是黑客，是网警漏扫漏扫漏了。”这话我琢磨了好几天。网警漏扫
他给我看了个内部通报。网警漏扫某市一家三甲医院的挂号系统，凌晨三点被拖库。数据不算多，两万条患者信息，但里面有艾滋病复诊记录。网警追了三天，最后发现入口是一个废弃的测试接口，挂在公网上整整两年。漏洞扫描报告里，这个IP压根没出现过。为什么？因为资产清单是五年前建的，那台测试服务器是后来临时搭的，没人报备。漏扫系统只认清单上的地址，清单外的东西，它看不见。看不见，就等于不存在。
这让我想起另一件事。去年有个区级政务云平台，漏扫报告每次都“低风险”，运维人员还挺得意。结果一个刚毕业的实习生，用开源工具随便一扫，扫出个Struts2漏洞，直接能拿服务器权限。后来查原因，漏扫系统用的是三年前的漏洞库，而且只扫Web层面，不碰中间件。你说它没扫吗？扫了。扫了个寂寞。
漏扫的“漏”，有时候是技术问题，有时候是人的问题。我见过一个运维，为了省事，把漏扫系统的扫描频率调到一个月一次。结果那一个月里，新上线的业务系统带着永恒之蓝漏洞跑了二十七天。网警找上门，他还委屈：“我扫了啊，报告上没显示。”报告是上个月的，新系统是上上周的。时间差，就是风险差。
更麻烦的是，漏扫扫出来的东西，未必有人看。某大型企业内网，漏扫报告堆了三百多页，高危漏洞标了红。安全员看了一眼，扔给运维。运维说：“这系统是外包做的，我们改不了。”外包说：“合同里没写要修漏洞。”皮球踢了半年，直到勒索病毒把整个财务部锁了。事后复盘，那个漏洞在报告第一页。第一页，没人翻。
网警其实挺无奈的。他们不是技术公司，不能天天盯着每个单位的漏洞。漏扫是手段，不是目的。目的应该是把漏洞修掉。可现实里，漏扫变成了交差——扫了，报告出了，任务完成了。至于扫没扫全、扫完谁改、改了没有，没人较真。一个网警朋友说：“我们像拿着手电筒在黑屋子里找老鼠。手电筒照到的地方，老鼠跑了。没照到的地方，老鼠还在下崽。”
那怎么办？我观察下来，有效的做法往往很笨。比如有个分局，逼着辖区单位交资产清单，每月更新，不交就断网。比如有个医院，把漏扫报告直接挂到院长办公会上，每个高危漏洞指定责任人，三天内反馈。还有个学校，让每个系自己扫自己的服务器，网警只抽查。这些法子都不高级，但管用。因为漏扫的“漏”，说到底不是工具漏了，是责任漏了。
写这些不是要否定漏扫。漏扫是基础，是底线。但底线不能变成天花板。网警漏扫，漏掉的可能是几万条隐私、一个系统的控制权、甚至一家单位的命。下次看到漏扫报告，不妨多问一句：清单全吗？库新吗？谁看？谁改？这四个问题答不上来，报告就是废纸。
老网警那顿饭最后说：“我们不怕黑客厉害，就怕自己人糊弄。”花生米吃完了，酒还剩半杯。他把杯子推一边，打开手机，又开始看今天的漏扫告警。屏幕上红红绿绿，像一锅没煮熟的粥。
```