安全配置错误：是什么以及如何在其再次出现时捕捉

团队根据基准强化系统，关闭未使用的端口，开启日志记录并通过审核。然后补丁重置了设置，工程师凌晨2点为修复故障打开了防火墙规则却未关闭，新服务器则由旧镜像构建。几个月后，环境与批准时完全不同。

这就是安全配置错误。OWASP在2021年排名第五，2025年排名第二，并且排名持续上升，因为即使你修补了所有已知漏洞，也可能因为没人记得更改某个设置而留下后门。

安全配置错误：设置错误、缺失或保持默认

安全配置错误是由于设置缺失、错误或保持在不安全的默认值而导致的弱点。软件按设计运行，但其设置方式使其暴露于风险之中。

漏洞是代码中的缺陷，供应商通过补丁修复。错误配置源于系统部署或更改方式中的决策或缺乏决策。修复方法是更改设置，由您的团队负责执行并保持。

配置错误可能存在于操作系统、数据库、网页服务器、云平台、网络设备和应用程序中。它们常常被忽视，因为没有任何故障，系统仍在运行。

服务器、云端和网络设备上的安全错误配置示例

许多问题归结为配置文件中的一行。以下是在两个常见配置文件中漂移的样子。

      # /etc/ssh/sshd_config 

 

# Drifted 

PermitRootLogin yes 

PasswordAuthentication yes 

 

# Hardened 

PermitRootLogin no 

PasswordAuthentication no 
      

      # nginx.conf 

 

# Drifted 

autoindex on;        # directory listings exposed 

server_tokens on;    # version number in every response 

 

# Hardened 

autoindex off; 

server_tokens off; 
      

两个漂移版本运行良好，因此没人注意到它们。 Change Tracker可以监控此类配置文件，并在值发生变化时发出警报。

大多数只需更改设置即可修复。在大型环境中找到它们是耗时的部分。

加固后错误配置仍然不断出现

设置错误确实会发生，设置后进行的更改也是如此。第二种情况的技术术语是配置漂移：系统逐渐偏离其批准的、加固的状态。

补丁和更新会作为副作用更改设置。由于业务无法等待，紧急修复会在正常流程之外进行。原本应该相同的系统由不同的人在不同时间构建。当发生更改时，通常没有清晰的记录说明是谁、何时以及为何更改。

这就是为什么一次性审计不够。它显示的是您检查当天的系统状态，而偏差可能从第二天开始。每季度或每年审查的团队总是基于已经过时的快照工作。

配置错误的系统给您带来的代价

配置错误的系统为攻击者提供了更容易的入侵途径，也给审计员带来了发现。这两者都耗费时间和金钱。

配置错误可能会暴露数据，扩大攻击者进入后获得的访问权限，并使入侵更难被发现，因为日志未设置为捕捉它。错误的设置也可能导致停机，追查原因耗费数小时，而没人能说出发生了什么变化。像 PCI DSS、NIST 800-53 和 HIPAA 等框架要求组织保持安全配置标准，并证明系统仍符合这些标准。一个偏离的系统即使尚未发生任何不良事件，也会未通过该测试。

四步查找并修复安全配置错误

1. 从标准开始。 没有可供衡量的标准，无法发现配置错误。大多数组织从行业基准开始，比如 CIS Benchmarks 或 DISA STIG，并根据其环境进行调整。有些组织则从已加固且可信赖的系统中建立自己的标准。
2. 针对每个系统进行评估。 根据基准检查服务器、数据库、云账户和网络设备并评分。最终得到一份按重要性排序的异常列表。
3. 修复您发现的问题。从最高风险开始。对于有意的偏差，请将其记录为批准的例外，以免成为误报。
4. 监控更改。 修复后，环境仍在不断变化。持续监控可告知您系统何时偏离其批准状态，让您能在几小时内修复偏移的设置，而不是在下次审计时才发现。

无上下文的检测会变成警报噪音

团队添加监控后，警报开始不断涌入。每个补丁、维护窗口和批准的更新都可能生成变更事件，在数百台设备中，团队无法区分常规变更和风险变更。

配置文件的更改只有在不应该发生时才是问题。区分差异意味着将更改内容与已批准内容进行比较。

闭环变更控制执行该比较。批准的变更被记录为计划变更，方法是连接到已有请求的IT服务管理系统，或直接定义。当系统出现变更时，会与计划进行核对。匹配的被归类为计划内，保持不干扰。其他的则被标记为计划外，团队会调查这份短名单。

了解 Netwrix Change Tracker

Netwrix Change Tracker 将系统与已知标准进行对比，实时捕捉偏差，并区分计划内和计划外的变更。

在评估方面，Change Tracker 包含基于 CIS Benchmarks 的合规性报告，Netwrix 是 CIS 认证供应商。报告涵盖 Windows、Linux、Unix、数据库、网络设备、VMware ESXi 以及包括 Azure、AWS、GCP 和 Microsoft 365 在内的云平台。如果您的组织有自己的构建标准，任何设备都可以作为基线来源，因此您可以从可信系统定义黄金构建，并以此衡量其他设备。

用于监控，它跟踪文件、文件夹和文件内容，以及进程、服务和开放的网络端口。在Windows上，它还跟踪注册表设置、已安装的软件、本地账户以及安全和审计策略。收集可有代理或无代理运行，这在混合服务器、设备和无法安装软件的设备的环境中很重要。每次更改都会记录更改内容和时间，从而构建可搜索的历史记录，以备出现问题时使用。

在变更控制中，它将检测到的变更与计划的变更进行比较。它集成了包括ServiceNow、BMC Remedy、Cherwell、ManageEngine ServiceDesk Plus和OpenText Service Management在内的ITSM平台，因此批准的请求会自动变为计划变更。未计划的变更可以在ServiceNow中引发事件，将调查交给系统所有者。

您将获得可随时验证的安全配置，并在有人询问更改内容时得到明确的答复。