服务器安全审计：90%高危漏洞藏于日志盲区

　　去年八月份那档子事，我原以为只是常规的日志审计，结果翻到第三台服务器直接懵了——日志里全是"200 OK"和"404 Not Found"，高危漏洞的调用栈？连个影子都没见着。可偏偏这台机器的端口扫描结果显示，它被外部IP高频访问过，明显有异常流量。后来蹲在运维工位上，看他们用ELK查日志，才发现这帮人早把"高危事件"的日志级别调成了"info"，混在一堆垃圾信息里，根本没人看。

　　最离谱的是，我们查漏洞时，产品经理还凑过来问："这日志量这么大，能不能把高危事件单独标红？"我盯着屏幕上三万行日志，凉了的外卖在旁边放着，心想："标红？连高危事件本身都没被记录，标个锤子。"后来发现，这问题根本不是个例——去年我们审计的二十台服务器里，九台的高危漏洞日志都被"优化"掉了，要么被降级，要么被过滤，要么直接被日志切割脚本给删了。运维小哥挠头说："日志太大，磁盘不够用啊。"可问题是，磁盘不够用，你删正常日志啊，删高危日志算怎么回事？

　　那天晚上我蹲在地铁上，掏手机复现漏洞。地铁晃得厉害，手指在屏幕上戳了十八次才调出日志配置界面。结果发现，日志级别是"info"，过滤规则里写了"排除所有包含'SQL注入'的日志"，切割脚本里还加了"每天凌晨三点删除所有超过30天的日志"。我当时就乐了——这哪是日志审计，这分明是"如何让高危漏洞消失"的教程啊。后来跟运维吵架，他们还理直气壮："日志太多，看不过来。"我说："那你删正常日志啊，删高危日志算几个意思？"他们沉默了三秒，说："产品经理说，就这么点东西，别搞太复杂。"

　　但话说回来，这问题能站得住脚，还真得感谢"优胜劣汰"。你想啊，日志里全是高危漏洞，运维和安全团队不得天天加班？老板一看成本上升，肯定得砍预算。可要是日志里没高危漏洞，大家都能按时下班，老板还觉得团队效率高。所以慢慢的，日志里的高危漏洞就被"优化"掉了——不是被修复，是被隐藏。我见过最狠的，直接在日志收集层加了个"高危事件过滤器"，连服务器都没机会记录。运维小哥还跟我炫耀："看，现在日志量降了80%，磁盘空间够用半年。"我盯着他电脑上的漏洞扫描报告，上面明晃晃写着"高危漏洞数量：127个"，心里直犯嘀咕：这127个漏洞，到底有几个在日志里？

文章配图，仅供参考

　　其实最讽刺的是，我们明明知道日志盲区有问题，可就是没人愿意改。安全团队说："日志是运维管的，我们管不了。"运维团队说："日志太多，看不过来，你们安全团队自己写规则吧。"产品经理更绝，直接来一句："就这么点东西，别搞太复杂。"最后的结果就是，高危漏洞在日志里"优胜劣汰"，活下来的全是"安全"的日志。我有时候怀疑，这到底是我们在审计服务器，还是服务器在审计我们？

　　现在想想，这事儿其实挺简单的——要么接受日志里有高危漏洞，然后花时间查；要么把高危漏洞从日志里"优化"掉，然后假装没问题。可问题是，假装没问题，真的没问题吗？上周我们公司被黑客攻击，对方用的就是日志里"被优化"掉的漏洞。老板拍桌子问："为什么没发现？"我盯着屏幕上的日志配置界面，心想：发现？日志里都没有，怎么发现？

　　后来我写了份报告，建议把日志级别改成"error"，过滤规则全删，切割脚本只保留最近三天的日志。运维小哥看了直摇头："这样日志量会暴增，磁盘不够用。"我说："不够用就买，或者把垃圾日志删了。"他说："产品经理不会同意的。"我叹了口气，把报告塞进抽屉，心想：算了，反正出问题又不是我背锅。现在我的工位上贴了张纸条，上面写着："日志盲区，高危漏洞的温床。"可运维小哥路过时，总会把它翻过去，说："别这么悲观，万一没问题呢？"

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!