网络安全公司苏苏实验室（Sususu Labs）首席运营官、红队与渗透测试专家 Dahvid Schloss 近日披露了一起涉及某大型美国药店连锁店的 IT 安全审计事件。该事件因防火墙管理员密码设置不当，引发内部审计部门与 IT 团队长达一小时的激烈争执，并导致后续三年的持续争议。
据 Schloss 介绍，他在对该组织进行例行网络基础设施审计时，发现了一台直接连接互联网的思科边缘防火墙。该设备的管理员权限启用命令（enable command）所对应的密码被设置为明文单词“password”。
Schloss 指出，Cisco 设备上的 enable 命令允许用户获取防火墙最高管理权限，从而控制网络流量。攻击者若通过 SSH 或漏洞利用获得普通用户权限后，极易猜到这一弱口令进而接管设备。值得注意的是，Schloss 并非通过猜测得知该密码，而是破解了存储在 Cisco IOS 类型 7（Type 7）格式中的加密字符串。他解释称，类型 7 编码仅使用公开密钥进行可逆混淆，早在当时就被视为不安全的存储方式，最佳实践应避免使用。
尽管密码以某种形式“加密”存储，但其内容过于简单，威胁行为者可轻易识别。因此，Schloss 将该问题标记为“高严重性发现”，要求立即修复。
然而，当 Schloss 向客户方提交报告时，却遭遇了内部阻力。审计团队高度重视该风险，但 IT 团队则认为此问题并不严重，双方就此展开了一场持续一个多小时的争吵。在此期间，Schloss 及其同事只能静坐旁观。
IT 团队辩称：“这只是一个中等优先级的问题，虽然不好，但没那么糟糕。”他们质疑为何要为此投入资源，认为这并非紧急事项。
由于冲突激烈，Schloss 无法完成正常的调查结果汇报与建议流程。即便在项目结束并转移至其他工作后，该客户仍在此后的三年里不断跟进，要求 Schloss 重新解释这一发现的重要性。
事后 Schloss 了解到，这场争执的核心并非技术本身，而是利益分配。该药店的审计部门掌握着 IT 团队的奖金发放权，规定任何被标记为“高严重性”的安全发现都会导致相关奖金取消。因此，IT 团队极力淡化该漏洞的严重程度，实质上是在维护整个部门的薪酬利益。
这一案例揭示了将安全合规态度与员工薪酬直接挂钩可能产生的负面激励效应：虽然旨在推动最佳实践，但也可能导致责任推诿和风险评估失真。
