“從入門到刪庫到跑路”！

原本一個口頭禪笑話，居然神奇般的發生了，而且還是一個有著3700員工、在香港上市的公司。

這童話般事件的發生了，暴露了從技術到管理、安全合規，風險管理甚至公關都有很大的問題。不知道這3700名員工中有多少人是在這些部門，不過我認為這些部門的人90%都可以開除了。

管理上方面

員工管理，員工崗位培訓、安全保障培訓有沒有到位，安全和保密協議都有沒有簽，人力資源對員工狀態了解夠不夠，有沒有專門指導和幫助機制？員工權限控制做到了么？運維、開發、安全和DBA有沒有分工，有沒有專職人員？員工有沒有操作互備和相互確認機制？

從技術上方面架構

系統架構上首先不合理：數據庫為啥沒有做多層架構（數據庫，緩存、內存數據），沒有分布式架構（分區，分庫，文件系統分布式存儲）。

備份

數據備份機制有沒有，數據備份檢查有沒有？數據回復機制有沒有，災難演練有么有做過？冗余熱備庫有沒有？

審計和告警

監控告警有沒有、操作和數據審計有沒有。

從公告中內容，操作審計是沒有，以至于要大量時間反向追蹤查找IP和用戶。正常情況下應該是在事故發生時間，異常登陸和操作發出告警。然后是服務器、和數據應用告警，然后是業務上告警。在業務發生告警時候，應該馬上就能查到什么時間、來源IP，誰操作了什么。

一般來一個合格的跳板機或者堡壘機都可以實現操作審計，對異常和破壞性操作予以告警和預先阻止，一個大型的公司應該是必須滿足的，有專門商業產品可供選擇。

小公司和團隊也可以選擇開源軟件方案，也能滿足絕大多數的審計和告警需求。比如Gravitational的Teleport工具就可以滿足對SSH會話的安全審計，有關這個工具可以參考蟲蟲最新一篇文章介紹，Teleport用BPF增強SSH會話的安全審計技術方案。

安全合規，風險管理方面

在數據備份上和告警上，審計上都沒有做到，說明安全和合規團隊是不存在或者完全失職的。按照國家對一個在線商務運營的資質要求來說合規方面應該都要有相關資質要求和措施年檢要求，至于怎么拿到資質備案和滿足年檢這也是值得要問的問題。

公關方面

從涉事后公告中直接暴露了和各種細節方面的問題來說公關團隊的也是失職的。還有晚上爆了的該員工、其媳婦以及公司高管方面種種小道爆料來說說明公關方面也做的不到位。