站长圈12年技术负责人揭秘：被隐藏的科技真相

　　去年十一月，站长圈那帮人又在群里嚷嚷"安全投入没回报"，我原以为又是老生常谈，结果翻了下日志——好家伙，某台被WAF拦截的服务器上，凌晨三点多了个.gitconfig文件，权限还是777。运维小王说可能是误报，我让他查查谁在三点钟还敢SSH，结果他盯着屏幕愣了半分钟："哥，这IP...是昨天刚离职的张工的工位。"

　　安全这事儿，最邪门的就是你永远算不清账。上周溯源一起Webshell攻击，顺着日志翻到三个月前，发现攻击者早就在/tmp/下埋了个定时任务——那台服务器当时根本没跑Web服务，WAF连看都没看它一眼。我跟CTO拍桌子："这钱花得冤不冤？要是早把日志收集全了..."他打断我："全收集了，存储成本翻三倍，董事会能批？"

　　那天半夜被@全员，说是某核心业务API被刷爆了。我爬起来看流量图，发现攻击流量全走的是备用链路——那链路压根没开WAF，因为"平时流量小，省点资源"。更绝的是，攻击者用的IP全是阿里云ECS的出口，溯源到一半，线索断了——人家直接关机释放了实例。小李在旁边嘀咕："这要是个正经业务，得亏多少钱？"我冷笑："正经业务？正经业务早把备用链路的安全预算砍了。"

　　安全是成本不是收入，这话我喊了十二年。但最近越来越觉得，这成本算得都他妈是玄学。上个月帮某站长排查注入，发现他数据库密码居然是"admin123"——不是弱密码，是明文存配置文件里。我问他："你花十万买的WAF，连个配置文件扫描都不开？"他挠头："销售说WAF能防注入，没提这茬啊。"

　　最搞笑的是去年那回，某金融站被挂马，溯源发现攻击者是通过OA系统的文件上传漏洞进来的——那OA是采购部选的，因为"便宜"。安全团队提了三次加固需求，采购部回："你们安全预算超支了，先缓缓。"结果被监管罚了八十万，采购总监在例会上拍桌子："这钱得安全部出！"我当场就笑了："您当初选OA的时候，怎么没算这笔账？"

　　现在站长圈流行个说法，叫"安全负债"。就像盖楼，地基不打牢，上面盖得再漂亮，一场地震就全塌。但问题是，没人愿意为打地基花钱——董事会要看ROI，CEO要看增长，CTO要看KPI。安全团队就像个消防员，平时没人理，着火了才被喊"快救火"，救完火还得被问"怎么着火的？"

　　我原以为大厂的情况会好点，结果上周跟某头部电商的安全总监吃饭，他说他们去年安全预算砍了三十个百分点。"董事会说，去年没发生重大事故，说明安全投入过剩。"他喝了口酒，"我现在每天最担心的不是被攻击，是被裁员——安全部门从八十人砍到五十人，很多活只能自动化，但自动化又漏报..."

文章配图，仅供参考

　　安全这行，干得越久越觉得无力。你跟老板讲风险，他说"先解决眼前问题"；你跟业务讲合规，他说"别影响上线进度"；你跟运维讲监控，他说"服务器太多看不过来"。最后大家达成共识：安全很重要，但别花太多钱。就像你跟医生说"我可能得了癌症"，医生说"先观察，别急着做手术"——等真确诊了，早晚期了。

　　现在我在群里基本不发言了。上周有人问"怎么证明安全投入的ROI"，我盯着屏幕看了五分钟，最后只回了个"呵呵"。要我说，证明个屁——等哪天服务器被拖库，客户数据满天飞，那时候自然有人算得清这笔账。不过到那时候，算账的人可能已经换了一拨了。

　　对了，昨天运维说那台被挂马的服务器要报废了，我问他文件删干净没。他说："删了，连/tmp/都格式化了。"我点点头，突然想起那个.gitconfig文件——不知道张工现在在哪家公司，他的工位，是不是又有人凌晨三点在SSH？

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!