陈年老“洞”击穿底线，未知风险几时休

网络空间是有记忆的，它一笔一笔记录着所有的错误，永远不会消失，也就意味着威胁如同悬在头上的达摩克利斯之剑。最近，就有个值得好好说说的小事儿。

前不久，微软发布警告称，有黑客利用常见物联网（IoT）设备中已停用的网络服务器漏洞，对能源电网发起攻击。

这个如今已经停止维护的物联网产业链基础软件漏洞，让攻击者成功入侵了某国电网。入侵还不算结束，因为这个停用服务器中的漏洞，仍在被持续利用中。

 陈年老洞，击穿一国电网

从微软发布的警告来看，这个物联网（IoT）设备早在2005年就已经停止服务支持，只是目前仍有大量路由和安全摄像头使用该组件及其软件开发工具包（SDK）。今年4月，安全公司Recorded Future就在印度电网入侵事件中发现该问题组件。

在微软对相关事件展开调查后，数据暴露了更多潜藏在暗处的安全隐患。

调查显示，全球有超过100万个暴露在互联网上的Boa服务器组件，而这种易受攻击的组件埋下了无穷尽的供应链风险，让数百万的组织和设备暴露在随时可能发生的风险之中。需要我们提高警惕的是，微软称已有证据表明，有黑客正在积极利用Boa服务器组件中的漏洞。

目前，明确被利用的漏洞分别是一个高严重度的信息披露漏洞（CVE-2021-33558）和另一个任意文件访问漏洞（CVE-2017-9833）。这里值得注意的事，任意文件访问漏洞距今已经有5年。微软还特别强调：“影响此类组件的已知 [漏洞] 可以让攻击者在发起攻击前收集网络资产的信息，并通过获得有效的凭证，在不被发现的情况下进入网络”。

安全远没有我们想象的容易，2005年既已停服的设备，2017年既已被披露过的漏洞，依然让安全威胁的阴霾不散。

无处不在的数字安全威胁

陈年老洞击穿一国电网的网络安全，绝非个例。这几天，Mozilla就修复了一个拥有18年历史的Firefox Bug。谁又能确定，在这漫长的18年时间里，有没有人曾利用过Firefox Bug，实施哪些不可描述的操作。

万物皆可互联，一切均可编程，推动着人们迈入数字文明的新时代。但不可否认，数字时代下的安全威胁也呈指数级飙升，当下我们正面临着前所未有的安全威胁。然而，从云原生安全、零信任安全到供应链安全，这些近年被反复提起的安全手段，其实都不能保证百分之百的安全。

在安全成为数字生态“地基”的今天，安全建设需要更多的投入。对安全建设人员来说，攻击如果是一个点，那防守就是一个面，考验的不单单是什么的能力，更是跨产品、跨部门、跨层级协同响应和指挥调度的综合实力。

数字安全建设，尚且任重道远。