企业网络安全日常检查：账号、终端与日志闭环

1、维护资产和公网暴露清单

记录服务器、终端、网络设备、安全设备、云资源、应用、数据库、域名、证书和第三方连接，至少包含责任人、用途、环境、地址、系统、重要等级、数据类型和生命周期。临时测试、云主机和远程终端也要进入清单，避免只维护固定机房设备。

每周比较公网IP、域名、端口、VPN、远程管理和云安全组与批准记录，识别新增、测试和过期入口。发现未知服务先确认归属与业务影响，再采取限制来源、临时阻断、修复或下线。证书到期、域名解析和第三方托管变化设置提醒，并由内部责任人签认。

• 资产有责任人和生命周期
• 公网入口与批准记录一致
• 未知资产有确认、处置和复测

2、检查账号与权限生命周期

核对入职、转岗、离职、外包到期和长期未登录账号，确保目录、邮箱、VPN、云平台、业务系统和设备管理员同步处理。共享账号应拆分；暂时无法拆分时限制使用场景、保管凭据并记录操作。服务账号明确调用系统、负责人、权限、密钥轮换和禁止交互登录等要求。

每月复核管理员、数据库导出、策略变更、财务审批和远程运维等高权限，检查是否仍与岗位一致。关键系统和远程访问使用多因素认证，管理员日常账号与高权限账号分离。临时权限设置自动到期，紧急账号封存并对启用告警。

• 人员状态与各系统账号一致
• 高权限有用途和定期复核
• 临时、外部和紧急账号有期限

3、管理终端、服务器和补丁风险

统计受管终端与服务器覆盖、代理在线、操作系统支持、磁盘加密、防护状态和高风险漏洞。离线设备不能直接算作安全，应确认停用、外出、网络故障、代理损坏或被卸载。对无法安装代理的专用设备采用网络分区、最小访问和替代监测。

漏洞整改结合互联网暴露、利用条件、资产重要性和补偿控制排序，不只按分数机械处理。补丁先在代表性设备测试业务软件、驱动、外设和重启，再分批部署并保留回退。无法及时更新时限制入口、关闭服务、加强监测并记录风险接受和到期复核。

• 终端与服务器覆盖状态可信
• 漏洞排序考虑资产与暴露
• 补丁测试、分批和回退有记录

4、复核网络边界与内部隔离

检查防火墙、VPN、路由、NAT、云安全组和无线策略，重点关注任意源目的、全端口、临时放通、长期未命中、重复和无人负责规则。未命中不代表可以立即删除，灾备和低频业务需要结合周期与责任人判断；删除作为独立变更并保留配置备份和回退。

办公、服务器、生产、访客、物联网和管理网络按业务风险分区，跨区访问限定到必要系统和端口。网络设备管理使用独立身份、加密协议和可信来源，关闭公网直接管理与默认账号。关键链路和高可用状态不能只看“正常”，应按计划执行切换和业务验证。

• 高风险与临时规则进入复核
• 业务区与管理面合理隔离
• 链路和高可用完成真实切换测试

5、检查邮件、云服务与远程协作

邮件和协作平台重点检查异常转发、可疑登录、管理员变化、外部共享、长期公开链接和第三方应用授权。域名邮件认证、反钓鱼和附件策略应结合正常业务测试，避免配置存在但实际未生效。高风险账号启用强认证并限制旧协议。

云平台核对根账号、管理员、访问密钥、角色、公开存储、快照共享、安全组和审计日志。密钥不写入代码、镜像或公开仓库，设置轮换和异常使用告警。供应商或自动化工具使用独立身份与最小权限，项目结束及时回收。

• 异常转发和外部共享可发现
• 云管理员与密钥定期复核
• 第三方应用授权和账号可回收

6、验证备份而不只看任务成功

先按业务重要性定义恢复顺序、允许丢失的数据量和目标时间，再检查数据库、文件、虚拟机、配置、云资源和关键终端是否进入备份。生产快照不能替代独立备份；关键副本与生产账号和故障域隔离，并考虑离线、不可变或异地保护。

每月至少抽查任务失败、容量、异常删除和副本完整性，按计划从指定时间点恢复到隔离环境，验证启动、数据、账号、接口和实际耗时。恢复结果由业务负责人确认。备份平台管理员、密钥、目录和配置本身也需要保护和恢复资料。

• 备份范围与业务恢复目标一致
• 关键副本与生产权限隔离
• 真实恢复有数据、时间与业务验证

7、保证日志可用并处理告警

优先收集身份认证、管理员、终端安全、网络边界、云控制面、关键应用和备份日志，统一时间并限制删除。检查采集中断、事件量异常、字段丢失、解析失败和存储容量。定期用受控操作证明关键日志从源系统到检索和告警链路完整。

高风险告警要有接收人、核查步骤、升级条件、处置和关闭标准。日常检查不能只统计“已查看”，应抽查证据、时间线、动作是否生效和根因是否整改。重复告警进入问题管理，判断是规则、资产、权限、漏洞还是业务流程缺陷。

• 关键日志完整且时间一致
• 日志中断和容量异常可告警
• 高风险告警形成处置与复测闭环

8、控制供应商与远程运维

建立供应商人员、服务范围、目标系统、账号、来源、期限和合同责任清单。远程运维使用独立身份、强认证、最小权限和受控入口，按工单临时开放；禁止长期共享管理员和无记录直连。提供配置、日志和数据前按必要范围脱敏与审批。

每月复核外部账号、VPN、跳板、API密钥和白名单是否仍需保留。合同应明确安全事件通知、漏洞、分包、审计和退出交接。服务结束后回收账号、证书和网络通道，确认数据返还或删除，并轮换可能被外部掌握的凭据。

• 外部访问与合同范围一致
• 远程操作可对应人员和工单
• 退出时账号、通道和数据完成处置

9、按风险安排检查频率

每日关注高风险告警、关键资产离线、备份失败、日志中断和重大变更；每周检查公网入口、漏洞进度、临时权限、终端覆盖和异常登录；每月复核管理员、宽策略、云密钥、恢复测试、证书许可和供应商账号；季度开展应急、切换或恢复演练。

检查表每项写明证据来源、正常标准、异常等级、责任人、整改期限和复测结果。截图可以辅助，但不能替代日志、配置差异、工单和恢复记录。对连续多期重复的问题开展根因分析，由管理层处理资源或风险接受，避免每月重复勾选。

• 频率与风险和变化速度匹配
• 异常有证据、责任、期限和复测
• 重复问题进入根因和管理决策

10、准备事件响应并通过演练验证

预案覆盖账号失窃、勒索、数据泄露、恶意邮件、云密钥泄露和关键系统故障，说明发现、升级、隔离、证据、恢复、沟通和复盘。联系人与授权动作离线可用，明确谁可停用账号、隔离终端、封禁地址、切换系统和决定回退。

演练使用受控账号和测试资产，验证夜间通知、跨团队协作、备份恢复和业务确认。记录真实时间、信息缺口、未生效动作和手册错误。整改设置责任人和期限，关闭后复测；演练不能只做会议宣讲或形成一份没有执行证据的总结。

• 事件角色和授权动作明确
• 预案在内网不可用时可访问
• 演练问题完成整改与复测

实施检查表

• 资产、云资源、域名、证书和公网入口是否有责任人
• 离职、转岗、外包到期和长期未登录账号是否已处理
• 管理员、远程和关键系统是否启用强认证与分权
• 终端离线、代理卸载、高风险漏洞和补丁失败是否有人跟进
• 防火墙、VPN、安全组和临时规则是否定期复核
• 办公、服务器、访客、物联网和管理网络是否合理隔离
• 邮件转发、外部共享、云密钥和第三方授权是否可查询
• 备份是否与生产隔离并完成真实恢复与业务验证
• 日志中断、时间漂移和高风险告警是否形成闭环
• 供应商账号、远程入口、证书和数据是否按期回收
• 检查异常是否具有证据、责任人、期限和复测结果
• 账号失窃、勒索或恢复场景是否完成过实操演练

常见问题

安全检查是否每天把所有项目做一遍？

不需要。按变化速度和风险安排每日、每周、每月和季度任务，高风险告警、备份失败和日志中断应更及时处理。

漏洞分数高是否必须立即停机？

需要结合暴露、利用条件、资产重要性和补偿控制判断。无法及时修复时要限制入口、加强监测并记录期限和风险决策。

备份任务成功为何还要恢复测试？

任务成功只证明复制过程没有报告错误，不能证明数据完整、依赖可用、账号正确和恢复时间满足业务要求。

检查表有签字是否算完成？

不算。还要保留可靠证据，异常必须进入整改、责任、期限和复测；重复问题需要根因分析和管理决策。

参考资料

• 国家互联网应急中心：网络安全信息与资源
• NIST Cybersecurity Framework 2.0

相关推荐

• 应急指挥中心建设方案哪家好？政府应急指挥系统部署指南
• 无纸化会议系统怎么样？企业智慧会议室解决方案推荐
• 机房建设解决方案多少钱？企业数据中心机房规划指南
• MDR安全托管服务怎么样？企业网络安全防护方案详解