网络安全基线核查与整改 一线落地的真实细节
上周去苏州产业园找做等保服务的老周聊天，他刚熬完三个通宵做完一轮全网的网络安全基线核查与整改，眼睛红的像兔子，说差点被业务部门追着打。
别把基线核查做成配置抄录作业
很多团队刚接触这事，第一反应就是找个网上下的基线模板，对着服务器一条一条勾。密码长度够不够，端口有没有关，默认账号禁没禁。
说实话，这玩意做出来的东西，连自己都不信。
真查过生产环境的人都懂。80%的核查报告里标了”符合要求”的项，到真实故障触发时全是坑。
上次碰到个团队，报告里写所有Linux服务器都禁用了root远程登录，结果真出应急故障要登机器的时候，运维翻了三个小时记录才发现，有27台跑老业务的服务器，因为十几年前的厂商脚本要依赖root直接登录，压根没改，报告里的符合项，是他们对着测试环境的配置填的。我跟老周在便利店买冰可乐的时候，他还在吐槽，说之前接的一个项目，甲方给的核查报告厚达300页，翻了三页就发现，里面所有的配置项，全是从甲方三年前的等保报告里抄过来的，连服务器的IP段都没换。
麻烦在于，很多人把基线核查的目标搞错了。不是为了凑够报告上的勾。是为了把那些藏在系统缝隙里、没人敢动、动了就要出业务事故的风险点，全捞出来。
这事没捷径。
你不能远程扫一遍端口就完事。得蹲在机房里，对着每台跑核心交易的机器，翻最近半年的运维操作日志，找那些为了临时排障开的高危端口，找那些为了传文件留的共享账号，找那些版本老到厂商都停更了的中间件。老周他们上次查的时候，发现有个部门为了方便跨部门传文件，在一台边界服务器上开了个匿名FTP，开了快两年，安全组里还放了整个园区的IP段，之前的三次核查全漏了，因为负责核查的人根本没登进去看过实际运行的服务列表。
整改不是一刀切关配置
核查完拿到问题清单，最常见的操作是什么？上来就定死规则：所有超过90天没改的密码必须重置，所有对外开的3389端口必须全关，所有不符合密码复杂度要求的账号全部禁用。
业务直接炸。
上次有个团队就这么干，把财务系统的管理员账号禁了，结果月底出报表的时候全部门卡了整整两天，最后IT部被投诉到总经理那。说白了，整改的核心从来不是把所有不符合项全清零。是算清楚每个风险点的代价。关一个端口的成本是多少，留着这个端口的潜在损失是多少，两边的账算明白，再定整改优先级。
就拿那个漏了两年的匿名FTP来说，直接关的话，业务部门说每周要传三次供应商对账表，总不能每次都走审批找运维拷文件吧？换个方案，把匿名权限关了，加个带审计的文件传输账号，把开放的IP段从整个园区缩到财务部门的三个固定IP，整个改造花了俩小时，风险降了90%，业务一点没受影响。
很多人怕担责，一上来就追求100%符合基线要求。结果呢？为了满足密码90天更换的要求，运维把所有服务器的密码都设成了”公司名+年份+季度”，全记在一个共享的Excel表里，安全风险比之前还大。
这不是整改。是走形式。
你要允许有例外。比如那些跑了十年的老工业系统，厂商都破产了，根本改不了配置，那你不能硬给人把服务停了。那就在系统前面加个访问控制，把能碰这个系统的IP锁到最小范围，加操作审计，把风险兜住就行。
别等核查完才补流程
见过太多团队做网络安全基线核查与整改，是一年一次的运动式工作。平时没人管，到了等保测评前两周，全公司加班补配置，填报告，等测评过了，该开的端口又开回来，该弱的密码又改回去。
这有啥用？
跟一个做安全的朋友聊，他说见过最离谱的公司，等保测评当天，把所有的高危端口临时关了，测评专家一走，运维十分钟就全给开回去了，因为之前开着的时候业务跑的好好的，关了就报故障。
其实解决这个问题没那么复杂。你把基线核查的规则，嵌到平时的运维流程里就行。比如每次运维要开个高危端口，走审批的时候，系统自动弹出来，这个端口的开放时长不能超过72小时，到期自动回收。每次新建一个服务器，初始化的时候就自动把基线配置打进去，密码长度、端口默认状态、日志审计功能，全弄好，不用等后面人工补。最有效的基线，从来不是写在厚厚的报告里的条款，是嵌在日常操作流程里的自动校验。
别觉得这是多大的工程。老周他们现在把之前要花两周做的全网核查，拆成了每天自动跑的脚本，扫到不符合基线的项，自动给对应的运维发提醒，能自动改的就直接改，改不了的就标出来给负责人看，整个过程不用人天天蹲在那勾表。上次他们扫到有个新上线的测试环境，开了个默认的Redis端口没设密码，系统自动给加上了访问限制，从发现到处理完，总共花了12秒，比之前人工核查的时候，漏了这个点被外面的爬虫扫到拖走测试数据，损失小太多了。
很多人聊起网络安全基线核查与整改，总觉得是安全部门的事，是要花很多钱买设备、请第三方的事。其实真不是。你只要别把这事做成应付检查的表面功夫，多去现场看看真实的系统跑的是什么状态，多站在业务的角度算清楚整改的代价，别上来就一刀切，这事根本没大家想的那么难。
毕竟安全的本质，从来不是把系统锁的谁都用不了。是让系统在能正常干活的前提下，少踩那些没必要的坑。