网络安全基线核查与整改 别把合规清单做成应付台账
前阵子跟一个在制造业做运维的老伙计吃夜宵，他灌了半瓶冰啤酒就开始吐槽。上周刚把等保测评的材料交上去，这周就被省漏洞平台通报了三个高危项。原因说出来都好笑——之前为了凑核查的截图，所有服务器的密码策略、端口配置全是照着网上下的模板改的，改完连自己测试都没跑，结果改完之后不仅把生产网的时间同步端口给封了，导致车间的设备采集系统时间戳全乱了，还把所有的核查记录存在了一个没有权限管控的共享文件夹里，被内部审计抓了个正着。
核查最先碰到的坑，是拿通用模板套所有服务器
很多人刚接触网络安全基线核查与整改，第一反应是翻出网上下载的、被标注为“等保必过”的最全检查清单，对着每一条要求在自己的服务器上找对应的配置，不符合的就硬改，完全不管改完会不会影响正常的业务运行。勾完就算完成任务。
这想法从根上就错了。
通用模板是给所有人做参考的，不是让你原封不动抄到自己的环境里的。你家的测试机要连开发的调试工具，你上来就把22端口封死，运维每次要连服务器得绕三层跳板，效率能高才怪。你家的内部办公系统本来就不需要公网访问，你为了图方便，把系统权限配置的松松散散，被人扫到了拿弱密码登进去，偷了员工的通讯录和客户数据，这个锅谁来背？
我之前见过一个团队，为了把基线的密码复杂度项打勾，直接把所有服务器的统一密码设成了一个16位带特殊字符的复杂字符串，写在团队的群公告里。本来是要防弱密码，结果所有人都知道这个万能密码，反而比之前的简单密码风险还大。
真正的核查第一步，从来不是打开清单打勾，是先把自己的家底摸清楚。哪台是跑核心交易的生产机，哪台是给开发搭环境用的测试机，哪台是放内部文档的办公服务器，每台机器上跑的什么业务，开了哪些端口，哪些服务是不能停的，哪些配置是动了就会影响业务的。把这些摸清楚了，再对着通用的核查项一条一条筛，哪些是你这个环境必须要满足的，哪些是可以根据风险接受程度调整的。说白了，基线是给你自己的业务定的规矩，不是给测评机构交的作业。
整改不是一锤子的快照
很多人对整改的认知，还停留在“核查出问题，改完，拍个截图，存到档案里，这事就结了”。
太天真了。
服务器的配置不是一成不变的。今天你改完了所有的权限，关了多余的端口，下个月新来的运维为了方便排查问题，直接把远程权限开成了对公网可访问，你要是没有定期的复查机制，等被黑客扫到登进去偷了数据，才发现之前的整改全白做了。
之前去一个做连锁零售的企业做采访，他们去年过等保的时候，花了三周时间把所有的POS机服务器的基线全改了，把不必要的服务全关了，端口也按要求封了。结果今年年初被入侵，就是因为其中一个门店的运维为了传销售报表，私自开了FTP端口，连续三个月没人发现，攻击者顺着这个端口爬进了内网，偷了近十万条会员的手机号和消费记录。
真正的基线整改从来不是对着checklist打勾的一次性动作，是要嵌到你日常的运维流程里的。比如服务器刚装完系统，自动跑一遍基线核查脚本，不符合配置的直接自动修复，修不好的就给对应责任人弹告警。每次做配置变更的时候，先看动的配置是不是在基线管控的范围内，要开个端口、改个权限，得走审批，留好变更记录，不能谁想改就改。每季度自动跑一次全量的核查，把不符合的项列出来，推给对应的运维人员整改，不是等半年一年过等保的时候才临时抱佛脚。
算清楚整改的代价再动手
做安全的人很容易走一个极端：只要是基线里列的不符合项，不管三七二十一，上来就改，完全不管改完对业务有什么影响。
我之前碰到过一个运维团队，在做基线整改的时候，按照通用清单的要求，把所有服务器上运行的非必要系统服务全停了。结果停完才发现，其中一个服务是视频转码集群的节点调度服务，整个集群直接停了三个小时，影响了平台上近一半的短视频内容上传，算下来损失的广告和创作者分成有小几十万。
麻烦在于，很多人把基线当成了必须严格遵守的法律条文，觉得差一点就是违规。但实际上，基线本质上是风险和业务可用性的平衡点。你不能为了绝对的安全，把所有的业务都停了，那做IT还有什么意义？
比如核心生产系统上的某一个配置，按照通用基线的要求，你需要把它改成严格管控的模式，但改完之后会让系统的处理性能下降30%，而且对应的风险点是只有在内网已经被入侵的情况下才会被利用。那你就得算一笔账：这个性能下降带来的业务损失，和对应的潜在攻击风险，哪个你更能接受？如果风险低，你完全可以把这个配置的管控要求放一点，换成定期巡检这个服务的运行状态，来降低风险，而不是硬改完把业务搞挂。
上次再约那个吃夜宵的运维朋友，他说现在他们团队已经不拿网上的通用清单凑数了。先把所有的服务器按业务重要性分了三档，核心生产机的基线是每一条配置都要测过业务兼容性才定，测试和办公机的基线就适当放宽一点，但是每两周自动跑一次核查脚本，不符合的项直接推给对应运维改。上个月的漏洞扫描，他们的高危风险项比之前少了八成，也没再出现整改完把业务搞停的事。
这事没那么玄。网络安全基线核查与整改，从来不是为了应付检查做的表面功夫。你把自己的家底摸清楚，把规则嵌到日常的流程里，算好每一笔整改的代价，自然不会被那些条条框框绑住手脚。