把公司内网穿透 然后被勒索了 我得付多大责任

[shoreywong]

国企 今年入职新员工 没有任何安全培训过 我也不知道不能内网穿透
为了方便维护 我把单位的服务器用 frp 内网穿透了
结果服务器数据库密码太简单 被通过数据库提权控制了服务器
然后导致内网 14 台服务器被黑中了勒索病毒
说是我违规操作
处理结果还没出来 想问问我得付多大责任
我觉得最多就是开除吧 不会让我赔偿吧

[shoreywong]

@blindie #17 我也看罗老师 但我觉得内网穿透然后造成比较大的损失是低概率

[vazo]

通话交流要保留好证据.只要你不是里应外合,应该不会只有你一个人的责任.

[XiaoxiaoPu]

@blindie 楼主这个事情，攻击者并不是死物 “刀”，而是有行为的能力的攻击者。别搞类比，类比没有说服力。我还类比成，张三是屠夫，他没有保管好自己的杀猪刀，李四偷了他的刀把王五杀了，问张三有什么责任？

[zealic]

你本身就意识不到内网穿透带来的安全风险，是具有大部分责任的；
这种事情应该走流程，所以你确实违规了，如果是在涉密单位，那基本就得坐牢；
正规流程是申请 VPN 访问内网，如果 VPN 有问题则属于泄密或者维护者的问题，国企不差 VPN 设备这点钱。

[ifxo]

赎金高不高，不高就自己掏了吧

[whywhywhy]

你自己要用什么就映射什么，但是映射出去的一定不要有弱密码、已离职同事知道的密码也不行，安全防范的底线就是“可控”，像很多人喜欢用 Abc123 类似这样的密码去“符合密码要求规则”，还有就是互相分享自己账户的密码给别人，真的是很恶心，搞得一个个本来安全的东西变得一点都不安全。。

[raaaaaar]

@blindie #10 这不抓反而抓运维，搞笑啊，运维就是操作有问题也不是故意把密码透露给别人的吧，哪天写 bug 造成损失岂不是程序员也要坐牢了。

[blindie]

@raaaaaar 不是只有一个有责任的。

[bxb100]

@shoreywong #2 新成立的估计业务数据也不会太重要, 保重

[shoreywong]

@bxb100 #29 我们单位几乎没损失 主要是其它单位

[blindie]

@shoreywong 虽然很同情你的遭遇 但就事论事确实发生了相应后果 你主观认为是低概率 放裸端口也不是同行常规操作 这在法律上叫做“抱有侥幸心理，安全意识淡薄”

[goofool]

为啥服务器被黑了就直接找到你了，你还告诉别人你用了 frp?

[Tvan]

别吓楼主

[kuzhan]

最近大鱼大肉该吃吃该喝喝吧，毕竟里面几年吃不到多少鱼肉！

[594duck]

理论上你不是主观作恶，不会重判，另外你们单位自己一岗多责，权责不清，领导不重视安全问题，负主要责任。记住态度要好，表现诚恳。

另外你报警了么，记得提醒领导报警。

以后不懂不要乱弄。你方便人家也方便。我们买 vpn10 万，15 万，你以为是好玩啊。那是血和泪的教训。

这两天 V2EX 小粉红洗地。你自己看清楚。

[shoreywong]

@goofool #32 管网络的单位请了安全专家来查日志 发现是从我的服务器数据库入侵的 而且第一时间拷走了我的服务器所有文件 桌面上甚至有我的 frpc 配置文件 我觉得瞒不住 一开始我觉得最多就是 ddos 攻击 就说了 没想到通过数据库之间控制了服务器

[goofool]

@shoreywong 你们这些服务器都是测试服务器，不是生产服务器吧

[shoreywong]

@goofool #37 我们是能源企业 这些都是信息化系统 比如传合同 上报日报周报啥的

[dorothyREN]

还不如直接在服务器上 rm -rf /*呢，就说是误操作了。

[eviladan0s]

@d5 攻防演练不会搞勒索病毒的