安全修复对搜索引擎索引效果的影响分析

　　一个月前被安全部按头改了二十多个WAF规则，结果运营那边炸了锅——说搜索引擎抓取量掉了三成。我原以为他们又拿“服务器波动”当借口，结果翻日志发现，好家伙，那几天403错误码确实多了十七倍，全是爬虫IP。安全部那帮人还嘴硬，说“这是正常防护动作”，可问题是，你防的是恶意流量，怎么连百度蜘蛛都拦下来了？

　　最搞笑的是，有个老旧的CMS系统，之前因为漏洞没修复，被WAF直接封了所有POST请求。结果呢？搜索引擎爬不到动态页面，索引量直接腰斩。安全部的人说“这是为了防止SQL注入”，可注入攻击一个月才两次，索引量掉的是每天的饭钱啊！我敢打包票，他们改规则的时候根本没看过爬虫白名单，连UA里带“Baiduspider”的都没放过。

　　那天凌晨两点，群里突然@全员，说某核心业务线索引全挂。我爬起来查日志，发现是安全组新上的反爬规则把Googlebot的User-Agent给黑了。更绝的是，他们居然在规则里写了“匹配所有含‘bot’的UA”，我直接笑出声——这他妈是防爬虫还是防搜索引擎？后来溯源的时候，线索在中间跳板机断了，IP是荷兰的，但服务器上多了个陌生的.git文件夹，里面全是测试用的Webshell，估计是安全组自己人手滑上传的。

　　安全修复这玩意儿，说白了就是成本不是收入。你花时间打补丁、调规则，老板看不到KPI涨，只看到流量跌。上周运营总监找我喝酒，说“你们安全部再这么搞，明年预算砍一半”。我原以为他开玩笑，结果第二天财务真的把安全预算卡了——理由是“没有直接收益”。可问题是，不修复漏洞被黑产搞，损失更大啊！这帮人怎么就不懂呢？

文章配图，仅供参考

　　后来我偷偷把WAF的日志导出来分析，发现被拦截的请求里，只有百分之二是真正的恶意流量，剩下的全是搜索引擎、CDN回源，甚至还有自己内部的监控脚本。我拿数据找安全部，他们说“这是误报，正常”。我说“误报率百分之九十八还正常？”他们说“总比被攻击强”。我彻底无语——这他妈是拿索引量换安全感啊！

　　最离谱的是，有次修复一个XSS漏洞，安全组直接把所有输入参数都转义了，结果导致前端页面全乱码。运营说“用户看不到内容了”，安全组说“这是为了防XSS”。我说“你们能不能精准修复？别一刀切”，他们说“没时间，先全堵上再说”。结果呢？用户投诉激增，修复漏洞的成本全转嫁到运营和产品身上了。

　　现在每次安全修复，我都得提前和运营、产品通气，让他们做好流量下跌的准备。可即便如此，还是会被骂——因为老板只看结果，不看过程。安全部的人总说“我们是幕后英雄”，可英雄也得吃饭啊！你让运营没流量，产品没用户，谁给你发奖金？

　　昨天又收到安全部的邮件，说下周要修复一个高危漏洞，可能会影响部分API接口。我直接回邮件：“先测，别乱改。要是索引量再掉，我就把WAF规则全删了。”他们没回，但我知道，他们肯定又在偷偷改规则——毕竟，安全部的KPI是“漏洞数量”，不是“业务稳定性”。

　　下一步我打算写个脚本，自动把WAF的拦截日志和搜索引擎的抓取日志做对比，用数据说话。可安全部的人要是知道，肯定会说“这是泄露敏感信息”。唉，这活儿真是没法干了——修漏洞被骂，不修漏洞也被骂，左右都是死。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!