把公司内网穿透 然后被勒索了 我得付多大责任

[shoreywong]

国企 今年入职新员工 没有任何安全培训过 我也不知道不能内网穿透
为了方便维护 我把单位的服务器用 frp 内网穿透了
结果服务器数据库密码太简单 被通过数据库提权控制了服务器
然后导致内网 14 台服务器被黑中了勒索病毒
说是我违规操作
处理结果还没出来 想问问我得付多大责任
我觉得最多就是开除吧 不会让我赔偿吧

[xcodeghost]

这个事情既然发生了，那么一定单位领导肯定要找一位替罪羊的，你说不找你找谁。

[x86]

从来不拿公司电脑做其他事…

[eviladan0s]

给后面看到的小伙伴提个醒：
1.内网机器需要外网访问的，不要自己搞内网穿透，实在不行让领导买设备
2.弱口令，弱口令，弱口令，永恒不变的话题

[ouqihang]

看能不能抓到人，现在支付渠道都有追踪，真正的勒索者才负主要责任。
不是说疫情期间有人弄勒索病毒，被警告，后果 xxx，后来自己解了。

[oneisall8955]

慌了，赶紧把穿透关掉

[across]

@redtea 判刑那种是蓄意破坏的···

[sujin190]

公司服务器好歹弄个 vpn 啊，frp 这种不靠谱的也敢在公司服务器上玩。。

非主观恶意且明确知道有风险的造成损失的，比如 bug 这种，谁知道哪会有 bug 啊，而且 bug 这属于开发流程不严谨公司管理流程有问题，这种确实不承担责任，但是吧你这个属于预知有安全风险还主动安装这软件且未和领导沟通导致被入侵，虽然非恶意，估计连带责任是很难逃掉了，如果有备份或是非交易算法知识产权啥的不会造成重大损失的那就太庆幸了

公司电脑啥的说真的还是别乱装工作无关的，更别说服务器了，指不定哪天就要背锅

[20150517]

我觉得趁现在没被关押,赶紧逃出境吧

[expy]

frp 没有 vpn 那样的访问控制吗，怎么就直接搞到数据库了?

[getadoggie]

攻击者要达到他的目的，是需要一系列的“门”的，这些门每一个都很重要，都是缺一不可，你只是误开放了其中一个门。要追究的话，你要负私自修改系统以让系统潜在的缺陷增加这一个责任。由于造成了较严重的后果，对于后果你也要负一定的责任。其它的门也是由公司对应的人把守的，他们在这一过程中绝对要负对应的责任，只不过看起来不像你这么明显而已。比如放任若密码这一道门。如果查到具体的攻击流程，你要算算这里一共开了多少门，分别应该由哪些人承担（你不去检查这些其它人只会甩锅给你），然后由门的大小计算责任。最后我想你还是要赔钱的，这个应该跑不掉，只不过数额需要你努力把它客观化，别让某些过于自私的人把责任都推到你身上。

[CEBBCAT]

FRP 就只是端口转发，不知道现在是不是默认开启通讯加密，反正我之前是开了的，也开了压缩。

这等于把内网服务的端口对外开放到一个固定的端口上了，别人只要嗅探出端口对侧服务，就可以暴力破解了。

楼主说得还是不够清楚，比如说是把数据库还是 sshd 的端口给映射出去了？

各方都有责任

[shoreywong]

@CEBBCAT #51 我把数据库 rdp 和 8080 映射出去了 是从数据库进来的 我也很奇怪它为啥能知道比如说我把 3306 映射到 9999 他怎么知道是数据库端口的 应该没加密 上面有人说的那个 stcp 好像才是加密的 哎 不知道 刚弄好没一周

[0x6c696e71696e67]

@blindie 1，分公司就他一个技术员，被黑了当然第一时间找他。2，他不用告诉任何人，总公司派人来一查就知道了

[xupefei]

@20150517 你还真敢说…要是楼主真的跑了你就要被抓了😂

[im3x]

@shoreywong #52
可以通过端口的流量指纹识别，简单说就比如，你用 nc remote-addr 9999 的时候，会返回带有 mysql 字符串的流量特征，扫描程序就可以自动识别为数据库了

[shiny]

@redtea 记得那次是因为擅自把管理员密码偷偷记了下来，方便自己操作

[Felldeadbird]

我认为需要先确定一个事情，内网穿透这个事情 公司知道不？

如果不知道私下开启，你就需要担责。

[Felldeadbird]

没有任何安全培训过

楼主最好找个律师朋友咨询一下。不要乱说话，免得无辜担责。

[xupefei]

@XiaoxiaoPu 楼主本质是开门放狗，门开了，狗进不进来是另一回事。重大过失这个锅是怎么也甩不掉的。

[redtea]

刑法第一百六十八条 国有公司、企业、事业单位人员失职罪
国有公司、企业的工作人员，由于严重不负责任或者滥用职权，造成国有公司、企业破产或者严重损失，致使国家利益遭受重大损失的，处三年以下有期徒刑或者拘役；致使国家利益遭受特别重大损失的，处三年以上七年以下有期徒刑。