内容摘要：绿盟的扫描器报了个低危，我盯着屏幕看了半分钟，没急着点“忽略”。低危这东西，说大不大，说小也不小，就像鞋里进了一粒沙子，走路硌脚，但又不至于让你停下来脱鞋倒掉。可要是走的是长路，那粒沙子迟早会磨出水泡

绿盟的绿盟漏洞扫描器报了个低危，我盯着屏幕看了半分钟，扫描没急着点“忽略”。低危低危这东西，绿盟漏洞说大不大，扫描说小也不小，低危就像鞋里进了一粒沙子，绿盟漏洞走路硌脚，扫描但又不至于让你停下来脱鞋倒掉。低危可要是绿盟漏洞走的是长路，那粒沙子迟早会磨出水泡。扫描 这次报的低危是个SSL/TLS协议细节问题，具体点说，绿盟漏洞是扫描某个旧版本加密套件还开着。安全团队的低危标准操作是“建议禁用”，开发团队的标准回复是“影响兼容性”。两边都有道理，但没人愿意先动。我翻了翻扫描报告，发现这个低危已经连续三次出现在月度报告里了，每次都被标记为“已确认”，然后就没有然后了。 低危漏洞最尴尬的地方在于，它太容易被当作噪音处理。安全运维每天要面对几十个高危、中危的告警，低危排在最底下，没人有耐心看。可实际上，低危往往是高危的前兆。我见过一次真实的入侵案例，攻击者就是从某个低危的信息泄露漏洞入手，逐步摸清了内网结构，最后撬开了核心数据库。那次的初始漏洞，在绿盟的报告里就标着“低危”。 绿盟的扫描逻辑其实挺保守的，它报“低危”往往意味着“这里有潜在风险，但暂时没有直接利用路径”。这种提示的价值不在当下，而在未来。系统是会变的，代码是要迭代的，今天无法利用的问题，明天可能就成了突破口。尤其是那些涉及协议版本、加密算法、默认配置的项，一旦业务扩展、设备更换，低危就可能升级成中危甚至高危。 我处理低危有个习惯：先看它是否属于“可修复但不影响业务”的范畴。如果是，直接修掉，不拖。比如这次那个加密套件，我查了下，其实没有业务流量在用，纯粹是历史遗留配置。那就简单了，把旧套件禁用，重新扫描，低危消失，报告干净了。整个过程不到十分钟。 真正麻烦的是那些需要业务方配合的低危。比如某个管理接口暴露了版本信息，修复需要升级组件，而升级组件又得走变更流程，排期、测试、回滚方案，一套下来至少两周。这种时候，低危就被搁置了。搁置不是错，错的是搁置后没人跟踪。我见过不少企业的漏洞报告，低危项年复一年地躺在那里，像无人认领的行李，最后真的出了事，翻出来一看，那个“低危”早就该处理了。 所以别小看绿盟报的低危。它不是狼来了，更像是一张便签，提醒你某个角落落了灰。你可以不立刻打扫，但得记着这件事。我的做法是，每个季度把低危清单过一遍，逐条确认状态——是修了、是计划修、还是确认风险可接受。每条都得有结论，不能悬着。 这次这个加密套件，我修掉了。下季度再扫，它应该就不在了。但我知道，总会有新的低危冒出来。这行当就是这样，漏洞永远扫不完，但至少得让报告里的每一条都有个交代。哪怕只是低危，也值得你花十分钟看一眼。