对于系统管理员而言，打补丁的目的主要是为了保证系统的安全，不被有心人利用一些漏洞入侵到自己管理的系统当中。这其中涉及到很多问题，比如漏洞的安全危害级别，如何查找和检测漏洞，打补丁之前预估好可能产生的影响，进行充分的测试，做好相关备份等。有一些入行不久的系统管理员害怕打补丁，害怕会因此导致系统出现不正常，其实该打的补丁不打往往可能导致更糟糕的后果。那么，系统管理员应如何修补软件、系统漏洞，平稳的打补丁呢？为此，我们特别邀请了李晨光老师来给大家扫盲。

　　作者简介：李晨光（博客，新浪微博），中科院研究生毕业，IBM软件精英讲师，微软社区精英，ChinaUnix论坛Linux栏目版主.从事网络系统管理、存储及信息安全10年，中国勘察设计协会信息化专家、中国计算机学会高级会员，通过微软Microsoft、思科Cisco、CIW网络认证、获数据库高级管理工程师认证，多年系统管理培训、软件开发管理经验。公开发表专业学术论文四十篇，精彩博文百余篇。

　　一、程序为什么会有漏洞？

　　程序只能严格按照规则做编程有要它做的事情。但是，最终编写的程序并不总是与程序员预计让程序完成的事情一致。下面的这个笑话可以说明这一问题：

　　程序执行正像这个人的最后一个愿望的实现一样。程序按照指令执行，由于软件漏洞结果出了问题并不总是程序员想要的，有时结果甚至是灾难性的。

　　我们都知道现在软件变得更加复杂，软件越复杂，就越难预测它在各种可能场景下的反应方式，也就越难保证其安全性，当今的操作系统和应用程序的代码行数也越来越多，例如Windows xp大约有4千万行代码，Vista 大约5千多万，Windows 2000有2900万行代码。业界通常使用这样的一个估算方式，即每1000行代码中大约有5~50BUG。因此理论上，从平均意义上能估计出Windows xp中大约有多少个BUG。我们都知道黑客对操作系统的攻击都是利用系统软件中的漏洞进行的。在过去，很多人把漏洞看作是有恶意的人能够利用的软件或硬件的缺陷。然而在近几年中，漏洞的定义发展成为有恶意的人能够利用的软硬件的缺陷及配置错误。

　　从表面上看，漏洞管理像是个简单的工作，比如在操作系统上装上一些常用的补丁修补工具，然后自动进行修补。然而在大部分组织的网络中，漏洞管理既困难又复杂。一个典型的组织中包含定制们有不同的需求，不能只做简单地保护，更不能置之不理。软件厂商仍会发布不安全的代码，硬件厂商也不会将安全内建在产品中，因此这些问题就留给了系统管理员来处理。

　　厂商通过不同的途径发现一个漏洞。在理想的情况下，厂商在发布产品之前，会找出并解决所有的安全问题。但是代码的复杂性，加上严格的开发周期，易于产生安全方面的错误。通常，一个独立的/商业的安全研究组织会将漏洞告知厂商；不过在有些情况下，厂商会与公众同时发现漏洞，这时不用事先通知，漏洞就被公开了，就很容易被利用。

　　二、如何理解漏洞造成的风险？

　　不管一个漏洞是如何公开的，该漏洞都对一个组织造成了风险。漏洞带来的风险大小取决于几个因素：

　　1、厂商对风险的评级

　　2、组织中受影响系统的数量

　　3、受影响系统的危险程度和暴露程度

　　比如某些大的银行机构会采取措施，把所有的金融核算系统都放在网络中，并且置于独立的防火墙之后。尽管分离重要的系统是一种很好的策略，但是有一个因素没有考虑到：有大量的员工需要访问这些数据。因此，实际拥有的只是一个用作日志系统的昂贵防火墙，该防火墙允许一部分客户端通过。当然，防火墙可以阻止一些威胁，但是如果威胁来自一个允许通信的通道，那么防火墙就没有帮助了。

　　正确的解决方案是把整个部门放在隔离的网络中，不允许任何来自网络外部的访问。减少暴露程度虽然与漏洞无关，但是会大大降低漏洞为企业造成的风险。