漏洞整改函

上周三凌晨两点，漏洞安全运维群里跳出一条告警：某业务系统后台的整改数据库端口对公网开放了整整六个小时。值班同事从床上爬起来，漏洞登进去一看，整改日志里已经多了几百条来自境外IP的漏洞扫描记录。没丢数据，整改算运气好。漏洞天亮之后，整改一份《漏洞整改函》发到了开发组，漏洞措辞不算客气——“请于24小时内完成端口收敛，整改并提交整改报告。漏洞”

这封函写得挺直接，整改没绕弯子。漏洞第一段就一句话：漏洞位置、整改风险等级、漏洞发现时间。后面跟着三张截图，一张是Nmap扫描结果，一张是防火墙策略对比，还有一张是访问日志里那个刺眼的“0.0.0.0/0”。开发组的人看了没话说，因为问题确实存在，而且低级——测试环境切生产的时候，安全组规则忘了改，直接复制粘贴，把调试用的全开策略带上了线。

整改函里没写“高度重视”“立即排查”这种话。写的是：“请确认该端口是否必须对公网提供服务。若必须，请补充WAF规则和IP白名单；若非必须，请于今日18:00前关闭公网映射，并同步更新CMDB。” 底下附了运维组值班电话和工单编号。收件人是开发组长，抄送了技术总监和项目经理。这种抄送范围是故意的——让能拍板的人看见，比在群里@十遍都管用。

我见过太多整改函写成“情况说明”。开头先感谢配合，中间列一堆“建议”，结尾来句“望贵组重视”。结果呢？开发组回个“收到”，然后排期排到下个迭代。漏洞还在那儿晾着。这次不一样，函里明确写了“逾期未整改将触发变更冻结”，意思是你们组所有上线操作暂停，直到端口关掉为止。这招狠，但有效。当天下午四点，端口就没了。

写整改函有个诀窍：别把对方当学生，也别把自己当老师。就事论事，把证据摆齐。比如这次，我们没写“贵组安全意识薄弱”，写的是“经核查，该端口于X月X日X时由IP 10.x.x.x的机器通过控制台操作开启，操作账号为deploy_bot”。谁开的、什么时候开的、怎么开的，一清二楚。对方想辩解都找不到角度。

还有一点，整改要求得能落地。别写“加强安全防护”这种虚词。要写“将安全组规则从0.0.0.0/0改为10.0.0.0/8，并添加描述字段注明业务用途”。能复制粘贴去执行的指令，才是好指令。我们甚至附了一段Terraform代码片段，开发组直接改参数就能用。他们省事，我们省心。

最后说个细节。整改函的标题别用“关于……的函”，太公文。就直接写“漏洞整改函-订单库公网暴露-20231017”。邮件主题也这么写。收件人扫一眼就知道什么事、急不急。正文控制在三屏以内，别让人滚半天鼠标。附件放日志和截图，别塞正文里——正文是给人看的，附件是给机器查的。

那封函发出去之后，开发组长回了一句话：“收到，已处理，下次注意。”没客套，没解释。挺好。安全这行，少点废话，多点动作。函写得再漂亮，不如端口关掉来得实在。