漏洞一般

2017年，漏洞般WannaCry勒索病毒横扫150个国家，漏洞般超过20万台电脑被锁死。漏洞般英国国家医疗服务体系被迫取消数千台手术，漏洞般雷诺汽车在斯洛文尼亚的漏洞般工厂直接停产。事后复盘，漏洞般攻击者利用的漏洞般是Windows系统里一个叫EternalBlue的漏洞——这个漏洞的补丁，微软在两个月前就发布了。漏洞般

两个月。漏洞般足够打补丁的漏洞般时间，但没人打。漏洞般

这件事说明了一个问题：漏洞的漏洞般危险程度，往往跟它本身的漏洞般技术严重性关系不大，而跟"谁在用、漏洞般有没有修、漏洞般修得够不够快"关系更大。CVSS评分10.0的漏洞躺在没人维护的服务器上，可能比一个评分5.0但存在于全球半数路由器固件里的漏洞安全得多。

我见过一个案例。某中型企业的内网里跑着一套OA系统，基于一个2013年的开源框架搭建。这套框架有个SQL注入漏洞，公开已经八年了。安全团队每次扫描都报，开发团队每次都说"排期"，排了三年没动。后来真被人打进来了，数据库被拖走，勒索信贴在桌面上。老板问怎么回事，安全负责人说："这个漏洞我们报了几十次。"老板说："那为什么不修？"没人回答。

这就是漏洞的真相——它不是一个技术问题，是一个组织问题。

很多人对漏洞有一种误解，觉得它是黑客天才们精心挖掘出来的数字宝藏。实际上，大部分被利用的漏洞，技术含量低得令人发指。弱口令、未授权访问、默认配置没改、老旧组件没升级。这些漏洞的利用方式，在安全圈的入门教程里就能找到。攻击者不需要是天才，只需要比防守方勤快一点。

有个数据我一直记得：根据Verizon的年度数据泄露调查报告，超过60%的入侵事件中，攻击者利用的漏洞在事件发生前已经有可用的补丁。换句话说，大部分被攻破的系统，不是输在技术对抗上，是输在运维管理上。

这引出一个更让人不舒服的结论：漏洞管理本质上是一个优先级排序问题，而绝大多数组织的排序方式是错的。他们倾向于修那些"看起来危险"的漏洞——比如远程代码执行、权限提升——而忽略那些"看起来不严重"的——比如信息泄露、配置错误。但攻击链往往是从后者开始的。一个信息泄露漏洞能给你提供内网拓扑，一个配置错误能给你一个立足点。单看每个都不致命，串起来就是一条完整的攻击路径。

我自己的经验是，评估漏洞的时候，别只看CVSS评分。问三个问题：这个资产暴露在互联网上吗？它存着什么东西？如果它被拿下，攻击者下一步能去哪？这三个问题比任何评分都管用。

还有一点。漏洞修复的速度比修复的完美度更重要。见过太多团队追求"一次修好"，结果一个补丁测两周，上线再花一周，等修完，攻击者早换目标了。快速打补丁、快速回滚、快速迭代，比写一份完美的变更方案有用得多。

WannaCry过去七年了。EternalBlue的补丁还在那里，免费的，随时可以下载。但我知道，此刻世界上仍有成千上万台机器没打。

漏洞一般。修漏洞的人，才不一般。

很赞哦!（4）