​深X服漏洞的启示

最近圈里关于深X服EDR漏洞的讨论沸沸扬扬，一时间各路大神纷纷下场，从不同的角度对这个漏洞进行了详尽的分析，具体的漏洞详情大家可以关注深X服官方公众号，里面有详尽的解决方案。

我们也看到网络上流传着一些深X服的php代码，其实这种量级的产品基本都是核心模块加脚本代码的模式，在安装包里面能看到这些脚本代码比较常见，大家在其他厂商的相关产品里面也能看到类似的代码，不过深X服的代码写的很不优雅，不优雅意味着需要很多的步骤来保证代码的正确性，引起了大规模的吐槽。

话说回来，不管是这个漏洞本身，还是对深X服的代码的调侃都反映出了很多值得深思的问题，这里看雪就和大家讨论讨论。

01

安全公司需要加大对产品安全的投入

从这次的事件，从代码来看很明显深X服对于研发过程中安全的投入是不够的，充满了一些不该犯的错误，也说明了开发人员的安全意识不够。作为安全产品提供商，深X服在对外提供安全服务的时候，也不能忘了自身产品的安全，虽然这种事情往往支出大于收益，但是也是必要的，因为一旦安全产品本身出了问题，防护也无从谈起。

所以从开发的源头上去避免安全漏洞的产生，非常必要。这与我们一直以来所提倡的“安全开发“理念不谋而合。

在和业内的专家讨论的时候，他们所发表的一些观点，觉得非常值得与大家分享。

“

著名白帽子黑哥：“事实上目前看到的很多安全公司生产安全产品在安全性的投入上是远远不够的，近几年很多的安全公司产品成为了攻击的目标，比如FireEye、Palo Alto 等安全设备都出现过严重的安全问题，在NSA泄露的工具包里也有针对网络防火墙等安全设备的攻击程序，所以这些都说明安全产品已经成为一种研究对象。这个也就要求我们安全公司要加强对安全产品本身的安全投入，从研发安全培训到安全测试设置可以根据企业本身定制SDL等流程，最大程度地保障产品安全，显然这次事件说明深X服还需要加强产品安全的投入。

“漏洞不可怕，可怕的是对待安全的态度”， 之前我说这句话主要是针对甲方企业，当然在这里也同样适合，从这次的事件来看深X服的处置流程还是比较透明专业的，包括协助CNVD发布预警包括产品更新同步公告等等。"

”

02

安全人员炫技可以，但是不要越界

就在复盘整个事件的时候，看雪也在思考漏洞被发现之后我们应该怎么做。

世上没有绝对的自由，只有相对的自由。在法律法规日益健全的今天，在网络世界、网络产品漏洞日益增多的当下，安全从业者们有必要学会如何在自由的表达自己的前提下，最大化的程度的保护自己。

以下提出一些建议供大家参考：

1	多了解国内的法律法规，如《刑法》，专门规定了如下罪名：非法侵入计算机信息系统罪，破坏计算机信息系统罪，侵犯公民个人信息罪，敲诈勒索罪等，并做到知法、懂法、守法。
2	开展漏洞渗透测试相关的业务请提前取得目标客户的授权。
3	一般情况下，当发现一个漏洞之后，可以先上报国家信息安全漏洞共享平台CNVD（China National Vulnerability Database，英文简称“CNVD”），CNVD通知厂商需要在90/10天内修复，厂商采取漏洞修补或防范措施后再予以公开，这样能最大程度的保护用户的安全，同时促进整个行业有序发展。

没有网络安全就没有国家安全。每位安全从业者都是人民的守卫者。希望每位安全从业者都能够“不忘初心”，实现自我价值，为广大网络世界保驾护航。

最后，安全编程对企业网络安全产品的重要性不言而喻。希望安全编程能够成为开发的一部分，产品更安全，用户更放心，形成一种行业发展的良性生态。

公众号ID：ikanxue

官方微博：看雪安全

商务合作：[e-mail]

求分享

求点赞

求在看