网站运维必知的5大云安全防护盲区

　　告警响的那一刻，我正把泡面叉子插进最后一根面条里——屏幕右下角跳着三台机器的 CPU 火焰图，微信弹出开发老张的语音：“你那个灰度流量没切走吧？”我拇指按住播放键还没松，机房小王电话就打进来了，背景是风扇嗡鸣和他边跑边喘的“兄弟你快看S3桶……”

　　我原以为只是 CDN 缓存没刷新，结果点开 CloudTrail 日志扫了两行就愣住：凌晨三点半，有人用我半年前删掉的测试账号，调了七百多次GetObject，目标全是带“user_config”字样的 JSON 文件。没 MFA，没角色链限制，连个条件 key 过期都没配。我手指悬在键盘上，想敲 aws s3 ls --recursive s3://xxx-user-config/，又觉得太慢，直接切到 IAM 控制台删策略——删完才想起来，那策略是绑在另一个服务角色上的，删了它，支付回调全挂了。反正，我手抖点错两次，第三次才点对。

　　窗外天快亮了，灰蓝一片，云层底下透出点铁青色。我盯着终端里滚动的 terraform plan 输出，里面三百行 resource “aws_s3_bucket_policy”，其中二十七行写了 allow ，八行写了 Principal “”，还有三行连 Condition 都没写——就写了 Effect: Allow, Resource: ""。我截图发群里，开发老张秒回：“这不你去年三月份自己写的模板？”我回他：“我写的？我连 template 文件夹在哪都不知道。”他说：“你忘了？那周你值夜班，我推了个 pr，叫‘init-security-terraform’，你 approve 的。”

　　我其实没点开过那个 PR。那会儿我刚接手运维第二个月，天天蹲在监控大屏前等告警，手里捧着刚泡开的红烧牛肉面，面汤溅到键盘缝里，Ctrl+R 刷新页面刷得比喝水还勤。同事阿哲说我像台旧服务器，CPU 满载但没 IO ——光在等，不动手查。他那天穿了件印着“404 Not Found”的黑 T，坐我斜后方，啃苹果咔嚓咔嚓响，听我说“应该没问题”，抬眼一笑：“问题不在‘应该’，在‘真没配’。”

　　机房很冷。不是空调打太低那种冷，是穿羽绒服还觉得后颈漏风的冷。值班表贴在进门铁门上，我的名字被胶带反复粘过三次，边缘翘起来，像一截快断的备份线缆。上周我妈打电话问我啥时候回家吃饭，我说“等这次迁移做完”，她顿了两秒，问：“是不是又跟去年三月份一样？”我没接话。她自己接了：“那次你熬了俩通宵，回来睡到下午三点，锅里的粥长毛了。”

　　优胜劣汰？我认了。真不是修辞。真就是——活下来的配置有备份，死掉的配置没人记得删；扛住攻击的 bucket 有 lifecycle rule 清理历史版本，爆掉的那个，last_modified 是两年前；能自动 rotate 的密钥背后有轮岗机制，不能 rotate 的密钥，绑定的是某人离职前留下的个人 AWS CLI profile。我们不是输给漏洞，是输给“没人动它，所以它还在”。

　　去年三月份的事，现在提起来还是喉咙发紧。那晚最后是靠手动回滚了六百多个 S3 对象权限，临时拉了个 Lambda 去扫描所有桶 policy 里带“Effect”: “Allow” 和 “Principal”: “” 的组合，脚本跑了一小时十七分钟，中间断了四次，每次重跑我都骂一遍自己为什么没早做这个扫描。其实最该骂的不是我——是我们全组三年没更新过 IAM 权限审计清单，清单本身还是 Excel 格式，最后修改时间是2021年冬至。

文章配图，仅供参考

　　对了，那碗泡面凉透了。我没再热。就搁那儿，塑料盖子掀开一条缝，水汽全跑光了，面条塌成灰白色一团。屏幕上还开着三个 SSH 会话、一个 Kibana 窗口、一个 Slack、一个 GitHub PR 页面，最上面是 CloudWatch Logs Insights 里查到的一条日志：“AccessDenied”——不是我们拦的，是对方试错了七百多次，第八百零一次终于绕过了我们自以为坚固的边界。

　　其实我知道哪五处盲区。但我不想列一二三四五。我就说一句：证书续签失败不是因为 acme.sh 配错了，是因为我们允许 root 用户直接上传 pem 文件到 /etc/nginx/ssl/，而那个目录的父目录权限是 777；磁盘告警爆了不是因为没扩容，是因为日志清理脚本写在 crontab 里，但 crond 服务被谁顺手 systemctl stop 了，停了三个月；备份失败不是因为 OSS 挂了，是因为 backup user 的 access key 被轮转了，但备份脚本里 hardcode 了旧 secret；迁移失败不是因为数据量大，是因为新集群 DNS TTL 设成了 86400，而我们改完配置立刻切流量，一半请求还卡在本地 hosts 里；回滚失败不是因为镜像损坏，是因为 rollback.sh 脚本里有个 cd /opt/app/ && ./start.sh，但 /opt/app 目录三天前被 dev 用 rm -rf /opt/app/ 清理“测试垃圾”，顺手删了 .env.example 里唯一写着 DB_HOST 的那一行。

　　这事本来能避免。我今晚就去改——把所有 Principal 改成具体 ARN，把所有 Allow Resource 套上条件 key，把所有没设过期时间的密钥加个注释：“此密钥于今晚九点自动失效”。但写完我犹豫了一下，点了删除键。不写了。先去把那碗泡面倒了，再把键盘缝里干掉的面渣抠出来。别的，明早再说。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!