安全管理漏洞自查报告

上周三凌晨两点，安全我蹲在机房盯着屏幕，管理手里那台测试服务器被人从外网连上了SSH。漏洞密码没改，自查还是报告出厂默认的admin/admin。防火墙规则里有一条“允许所有IP访问22端口”，安全备注写着“临时测试”，管理日期是漏洞去年4月。这个“临时”活了整整十四个月。自查

这不是报告段子。我们后来翻日志，安全发现扫描器从今年1月就开始撞库，管理每天试几百次，漏洞一直没触发告警——因为压根没配告警。自查安全组只开了22和3389，报告但没限制源IP。运维同事说“内网环境不用太严”，可那台机器绑了公网弹性IP，他自己忘了。

口令管理：最薄弱的环节永远是人

查了三十七台服务器，十一台用弱口令。不是“123456”那种，是“Company@2023”“Server#01”这类看起来像样子的。问题在于，这些口令在内部Wiki上明文写着，页面标题叫“新员工环境配置指南”。更离谱的是，数据库连接串直接硬编码在Git仓库的配置文件里，仓库权限设成了“内部公开”。我试着用那个口令登了测试库，能读用户手机号。没敢往下翻。

有个细节让我后背发凉：某台跳板机的authorized_keys里，塞了十九个公钥。离职员工的有六个，剩下的是外包临时加的。没人清理。问起来就说“怕影响业务”。

日志与监控：看不见就等于没发生

我们买了ELK，但只收了Nginx访问日志。系统日志、安全日志、数据库审计日志，全在本地磁盘上躺着。磁盘满了就自动覆盖，保留周期看运气。有次想查一个异常登录，发现那台机器的/var/log/secure是空的——被logrotate删了，配置里写的是“rotate 0”。

告警规则只配了CPU和内存。有人半夜挖矿，CPU跑满，告警邮件发到运维组公共邮箱，没人看。第二天上班才有人嘟囔一句“昨晚机器有点卡”。

权限与变更：谁都能改，改完不记

生产环境有sudo权限的账号二十三个，其中七个是共享账号。问就是“方便”。变更流程走Jira，但实际执行靠手动。有次一个开发直接改防火墙规则，把测试网段加进了白名单，没走审批。事后问他，他说“就加一条，两秒钟的事”。那条规则留了三个月。

我翻了近半年的变更记录，发现至少四次高危操作没有关联工单。一次是重启核心交换机，一次是删了负载均衡的证书，还有两次是改数据库索引。没人复盘，也没人追责。

物理与环境：门禁只是摆设

机房的门禁卡，前台抽屉里有一张“备用卡”，谁都能拿。监控摄像头有三个角度，但存储只保留七天。有次施工队进来拉网线，把一台交换机的电源碰掉了，业务断了四十分钟。查监控发现那个位置刚好是盲区。施工登记表上，签字栏是空的。

空调漏水，滴到配线架上，导致两个机柜断网。漏水检测仪装了，但没接告警，只会在本地响蜂鸣。那天周末，没人听见。

我打算先干这三件事

第一，把所有公网暴露的端口关掉，只留443。SSH走VPN，跳板机加双因子。第二，弱口令和硬编码口令全部重置，Git仓库加pre-commit钩子扫敏感信息。第三，日志集中收，告警接电话。先做这三样，别的慢慢来。

写这份东西不是给谁看，是给自己提个醒。安全这事，不出事的时候全是“没必要”，出了事全是“来不及”。那台被连上的测试机，我最后重装了系统，改了端口，关了密码登录。但我知道，只要人还在图省事，漏洞就永远补不完。