《Linux系统安全：纵深防御、安全扫描与入侵检测 》 —1.3.8　不要信任基础设施

1.3.8　不要信任基础设施

在信息安全领域有一种误解，那就是“我使用了主流的基础设施，例如网站服务器、数据库服务器、缓存服务器，因此我不需要额外防护我的应用了。我完全依赖于这些基础设施提供的安全措施。”

虽然主流的信息基础设施在设计和实现时会把安全放在重要的位置，但是如果没有健壮的验证机制和安全控制措施，这些应用反而会成为基础设施中显而易见的攻击点，使得黑客通过应用漏洞完全控制基础设施。

WebLogic这样一个广泛使用的Web容器平台就曾经爆发过严重的安全漏洞。例如，在2017年12月末，国外安全研究者K.Orange在Twitter上曝出有黑产团体利用WebLogic反序列化漏洞（CVE-2017-3248）对全球服务器发起大规模攻击，大量企业服务器已失陷且被安装上了watch-smartd挖矿程序。这个例子告诉我们，要时时刻刻关注信息基础设施的安全，及时修正其存在的安全缺陷。