漏洞行政

凌晨两点，漏洞行政某银行核心系统的漏洞行政日志里，一条权限变更记录悄无声息地滚过。漏洞行政操作员账号是漏洞行政三个月前离职的员工，审批流程显示“已通过”，漏洞行政但审批人自己都不知道点过那个按钮。漏洞行政这不是漏洞行政黑客入侵，是漏洞行政漏洞管理流程本身漏了——制度说每季度要复查权限，可季度报告永远写“无异常”，漏洞行政因为复查的漏洞行政人根本没权限去看审计日志。

我把这类事叫“漏洞行政”。漏洞行政它不指软件bug，漏洞行政而是漏洞行政组织在处理漏洞时，流程本身变成了一台漏洞制造机。漏洞行政去年某省政务云曝出数据泄露，漏洞行政调查发现，补丁管理系统里那条高危漏洞通告，在三个科室之间转了十一圈，每个环节都盖章“已阅”，就是没人执行修复。问起来，A科室说等B科室出方案，B说等C确认影响范围，C说A没给测试环境。责任像击鼓传花，最后花掉进了数据泄露的坑里。

更荒诞的是，越“规范”的单位，这种行政漏洞越深。我见过一家公司的漏洞管理委员会，每月开两次会，议题永远是“更新漏洞台账”。台账做得精美绝伦，每个漏洞有编号、有等级、有负责人、有截止日期——可截止日期过了半年，状态栏还是“处理中”。问负责人，他说：“台账里写了‘处理中’啊，流程上没问题。”你看，流程成了目的，漏洞反而成了台账上供人瞻仰的展品。

有个细节我印象很深。某次红蓝对抗演练，蓝队发现一个SQL注入点，按流程提交工单。工单系统自动分派给“数据库管理员”，可该管理员三天后才会从年假回来。系统不会判断紧急程度，它只认流程节点。攻击者当然不会等你休假结束——那天晚上，数据就被拖走了。事后复盘报告写“响应超时”，可谁都知道，真正的超时发生在工单分派规则设计的那一天。

说白了，漏洞行政的本质，是用管理上的确定性，去对抗技术上的不确定性。可漏洞偏偏不讲规矩，它不看你有没有红头文件，只看你的防火墙规则是不是写错了。行政越严密，反而离技术真相越远——因为每个环节都在做“看起来正确”的事，唯独没人去碰那个真正需要动手改的配置。

我建议干脆把漏洞处理从行政流程里摘出来。别搞什么“流程闭环”了，让技术负责人直接拍板，修不修、什么时候修、修坏了谁担责，一句话的事。剩下的行政工作，事后补签就行。毕竟，漏洞可不会等你开完第三次协调会。