升级包早就推送了、通报还没发，中间那几周盯什么

admin

修好了但没说，这几周会发生什么

老张在群里问了一句，自家邮件系统的补丁上周就打完了，可外面一点风声都没有，这正常吗。他担心的不是补丁，是这段安静。有报道称，一套被广泛部署的邮件协作系统出过高危问题，在公开披露之前就已经被利用。修复包是七月下旬推的，正式通报拖到八月中旬，中间大约三周。这三周里，懂行的人手里同时有新版本和没公开的问题。你说危险不危险。

对防守方来说，这段窗口最难的地方在于没有参照。平时你是看到通报，再去比对资产、排优先级。现在通报没来，你手里只有一封升级通知。有人会想，既然厂商都修了，问题不大，先放着。这想法可要不得。厂商赶在披露前修，恰恰说明这东西能被用。多留个心眼总没错。

还有一层，是节奏被打乱。安全团队习惯按披露日排班，几号出通报、几号做扫描、几号收尾，都写进计划。这段空白期没有节点，很容易被日常杂事挤掉。等通报出来再回头看，你会发现那三周其实什么都能做。所以给自己写一条内部规则，收到已修复但未说明的升级通知，当天就建单，把它排进当天的工作。这条规矩不用长，能落地就行。不等外部消息。

版本号差两位，就能看出问题

怎么在不看通报的情况下判断有没有雷。有个笨办法，但管用。就是盯版本号。厂商修一个安全问题，往往只动小版本的最后几位。你手里是三点几，官方最新是三点几加两位，中间差的这两三位，大概率就是这次修的东西。运维老手对这套数字很敏感。

这招有个前提。你得知道自己跑的到底是哪个版本。很多内部系统装完之后就没人记了，页脚那行小字是唯一的线索。等真出事，资产表上写的还是三年前的号，对不上，排查就得从零开始。所以别急着比对外面的版本，先把家里每一台的当前版本抓一遍。能自动采集就自动采集，抓不了的手工登记，别嫌啰嗦，这一步后面省事，花的时间都会赚回来。

有了准确的版本清单，判断就简单了：低于官方最新几位的，先圈出来；处在业务关键路径上的，再往前排；对外暴露的，最先处理。顺序别搞反。不要一上来就把全部机器重启一遍。变更要有窗口、要有回退，尤其是那几台谁都不敢重启的老机器。分批做，别挤在一个晚上。

邮件服务器这一类，为什么特别

邮件系统在很多单位里属于看不见但不能停的角色。它平时不显眼。可你上班第一件事就是看它。更麻烦的是，它天然要对外开端口，因为它得收外面发来的信。这就意味着，别人不需要先进你的内网，能不能碰到它，全看它自己那层防护做得好不好。这道门本来就冲外开，你只能把它守好，没法把它焊死。把它当成对外系统来管，标准才立得住。

这点常被忽略。这类系统往往是几十个组件的拼装体，中间的连接器、插件、集群配置文件一大堆。你打补丁，未必每个组件都跟着动。有人习惯只升主程序，插件照旧。结果主程序是新的，旁边那个还留着旧口子。所以升级清单要按组件列，不能只写一个名字。

邮件系统还有个特点，就是信任落在邮件本身。一封看起来正常的信，不需要收件人点任何东西，就可能在后台触发一串动作。这不是吓人。公开案例里就有。所以对这类系统的要求要比普通业务高一档，补丁及时、暴露面收敛、日志留全，三样缺一不可。哪一样松了，都可能被人钻空子，而且往往事后才被发现。别等出了事才回头补这几样。

机器之间的信任，能省就省

集群里那几台机器，彼此之间通常是自己人。为了同步数据、跑任务，它们互相之间配了登录信任，凭据一到手，横向走就是顺理成章的事。别人拿到一台的权限，等于拿到整个集群的门票。这套信任平时省事，出事也省事。这份便利，用不好就成跳板。这事儿得收。

收的办法不是全砍掉，那样业务先瘫。是把信任列个清单：哪台连哪台、用什么凭据、多久轮换一次、出问题能不能单独停掉一条。你会发现里面有一大半是当初图方便留下的，平时根本用不上。先关掉再说。把清单列出来，心里就有数了。剩下的，再一台台谈怎么加固、怎么留痕、怎么轮换。谁需要连、连到哪、多久换一次，白纸黑字写下来。

还有一条是权限别一把给。同一条信任，能只读的就别给写，能只跑一个命令的就别给全权限。很多横向移动能成立，原因不是代码多高明，而是那台机器本来就给了它太大的余地。权限别一把给。把余地从源头切掉，比事后到处找它容易得多。源头收窄，最省事。

不等通报，自己先排一遍

说了这么多，落到明天能做的动作上。第一步是拿到资产清单，把邮件、网关、边缘这些对外的东西单列一张表，标上版本、负责人、暴露情况。这一步最枯燥。但也最值钱。很多单位出事后第一句话是我们还有哪些没记，就是这一张表没做。这张表不需要多先进的工具，一张纸、一支笔就能开始，难的是肯花一个下午坐下来做。表在手上，后面每一步才有落点。

第二步是设一条流程，凡是收到升级通知，不管有没有配套说明，都走一次内部评估：影响范围、窗口安排、回退方案。别等通报来催。第三步是把日志留全，尤其是认证、集群同步、对外连接这几类，留够时间，能查回去。这一步没人催，全靠自觉，但真有用。这功夫不能省。

最后一句实在话，这段窗口本来就不是给外面看的，是给你自己用的。你先把自己那摊排干净，等通报真出来，别人手忙脚乱的时候，你只需要确认一遍。这份从容，是提前三周的准备换来的，不是运气好。很多单位不缺技术，缺的是有人肯静下心，把手里那点家底先摸一遍。靠的不是运气，是提前做过功课。功夫都在平时。手里有表、有流程、有日志，心就不慌。