安全信息漏洞库

2017年，安全Equifax泄露了1.43亿美国人的信息信用记录。事后调查发现，漏洞攻击者利用的安全是一个公开了整整两个月的Apache Struts漏洞——补丁早就发布了，但Equifax的信息运维团队没打。就这么简单。漏洞不是安全0day，不是信息国家级的复杂攻击，就是漏洞一次“该做的没做”。

漏洞库这种东西，安全本质上就是信息一本“人类健忘史”。我见过太多公司，漏洞花大价钱买最贵的安全扫描器，装最炫的信息态势感知大屏，结果漏洞库里的漏洞CVE条目还停留在三年前。问运维，答曰：“太忙了，来不及更新。”忙什么？忙着处理上一个漏洞引发的安全事故。

真实世界的漏洞利用，往往比电影里无聊得多。电影里黑客敲几下键盘就黑进五角大楼，现实里攻击者只是翻翻公开的漏洞库，找找还有谁没打补丁。就像小偷不撬锁，专找没关门的人家——漏洞库就是那本“谁家没关门”的通讯录。

有个细节挺讽刺：很多企业的漏洞管理流程，漏洞扫描、风险评估、修复验证，每一步都做了，但整个周期走完要三个月。而攻击者拿到漏洞利用代码，平均只需要48小时。你还在走流程，人家早就打包走人了。这哪是防御，分明是给攻击者写感谢信。

我自己曾经帮一家电商公司做应急响应。他们的漏洞库系统里躺着一条高危漏洞，标记为“已修复”。但我去验证的时候，发现修复方案只改了个配置文件，核心代码根本没动。问当初负责的工程师，他说：“当时赶着上线，测试环境能跑就行，谁知道生产环境配置不一样。”后来这个漏洞被利用，拖走了全部用户数据。漏洞库说“已修复”，实际上是个谎言。

所以我现在看漏洞库，第一眼看的不再是漏洞数量，而是“误报率”和“修复时效”。一个每天报500个漏洞的系统，和每周精准报5个漏洞的系统，前者可能更危险——因为没人会认真看500条告警，但5条一定会被重视。漏洞库的真正价值不在于记录了多少风险，而在于让运维团队在正确的时间，注意到正确的那一个。

说到底，漏洞库是死的，人是活的。工具再聪明，也抵不过一个“差不多就行了”的运维。反过来，哪怕用最简陋的Excel表管理漏洞，只要有人每周认真核对、推动修复，效果也远胜那些昂贵的摆设。安全从来不是技术问题，是态度问题。