本文目录导读：
网络安全台账的记录是安全管理的基础工作,目的是为了追踪、审计和改进安全状况，一份规范的台账通常需要做到“全程留痕、责任明确、数据准确、闭环管理”。
以下是一套标准化的网络安全台账记录指南,涵盖核心要素、常见台账类型及记录模板。
台账记录的核心要素（5W1H）
无论记录哪种台账,都应包含以下基本字段：
- 时间（When）： 事件发生时间、发现时间、处置时间。
- 地点/系统（Where）： 涉及的具体设备（如服务器IP、交换机端口）、系统名称、业务模块。
- 对象（Who）：
- 责任人： 谁负责操作或处置？
- 发现人： 谁发现的？
- 审批人： 谁审核通过的？
- 事件（What）： 发生了什么？系统更新、漏洞修复、病毒告警、账号新增。
- 原因/来源（Why）： 为什么发生？业务需要、外部攻击、误操作。
- 处理过程/结果（How）： 采取了什么措施？最终状态如何？是否已关闭？
常见的五大类台账及记录要点
资产管理台账
这是台账的根基,必须先摸清家底。
- 项：
- 硬件： 设备名称、品牌型号、序列号、IP地址、MAC地址、物理位置（机房/机柜位）、启用日期、维保到期日。
- 软件： 操作系统及版本、中间件、数据库类型及版本、业务系统名称、开发商、授权数量（License）。
- 虚拟资源： 虚拟机名称、宿主机、vCPU/内存/硬盘配置、快照时间。
- 关键点： 动态更新，每次新增、报废、变更（如IP更换、系统重装）都需记录。
漏洞与补丁管理台账
- 项：
- 漏洞编号（如CVE-2023-xxxx）、CVSS评分（严重程度）。
- 影响资产（IP、系统名称）、发现来源（扫描工具、安全通告、渗透测试）。
- 修复状态： “待修复”、“修复中”、“已修复” 、“无法修复（已接受风险）”。
- 修复日志： 打补丁时间、重启时长、补丁编号、验证方法（如再次扫描结果）。
- 关键点： 必须明确修复截止日期和验证人，形成闭环。
安全事件与告警处置台账
- 项：
- 事件描述： 告警类型（病毒、入侵、DDoS、钓鱼邮件）、源目IP、URL、样本哈希值。
- 影响评估： 是否造成数据泄露？是否影响核心业务？影响范围。
- 处置流程： 断网隔离 -> 取证分析 -> 清除威胁 -> 恢复业务 -> 溯源分析。
- 处理结果： 已清除、已封禁IP、已重装系统、误报（备注原因）。
- 关键点： 记录时间线（发现时间 -> 响应时间 -> 处置完成时间），这直接关系到应急响应时效性（MTTR）。
账号与权限台账
- 项：
- 用户名、所属部门、权限等级（管理员/普通用户/审计员）、涉及系统。
- 生命周期： 创建日期、最后登录时间、预计禁用日期。
- 变更记录： 离职删除、权限提升、密码重置。
- 特权账号： 是否有专人保管密码？是否使用堡垒机？密码最后一次更改时间。
- 关键点： 必须定期（如每季度）与HR系统或考勤系统核对，确保“人走账号销”。
配置与变更台账
- 项：
- 变更对象（防火墙策略、交换机VLAN、服务器配置）。
- 变更前状态： 原配置参数。
- 变更后状态： 新配置参数。
- 变更原因： 业务需求、安全加固、故障修复。
- 审批人： 谁同意了这个高风险变更？
- 关键点： 高风险变更（如放通高危端口、修改核心ACL）必须走审批流程并记录回退方案。
推荐记录形式（模板示例）
建议使用电子化管理，避免纸质难以检索。 推荐使用Excel（适用小团队） 或 Soar/GRC平台（适用中大型企业）。
示例：漏洞台账模板（Excel简版）
| 序号 | 漏洞编号 (CVE) | 漏洞名称 | 影响系统/IP | 严重等级 | 发现日期 | 修复截止日 | 责任人 | 处置措施 | 完成日期 | 验证结果 | 备注 |
|---|---|---|---|---|---|---|---|---|---|---|---|
| 1 | CVE-2024-xxxx | 远程代码执行 | 168.1.10/Web服务器 | 高危 | 2024-01-15 | 2024-01-20 | 张三 | 升级Tomcat到9.0.86 | 2024-01-18 | 扫描通过 | 无 |
| 2 | CVE-2024-yyyy | 中间人攻击 | 核心交换机 | 中危 | 2024-02-01 | 2024-02-10 | 李四 | 禁用TLS 1.0 | 2024-02-05 | 配置比对通过 | 需业务验证 |
三个重要的记录原则
- 真实性原则： 不要事后补记录，或者编造记录，台账是给审计看的，更是给自己复盘用的，虚假的记录在出了事故后会被认定为你管理失职。
- 完整性原则： 不要只记录“成功”的处置，也要记录“尝试失败”的过程。“尝试打补丁失败，原因是磁盘空间不足，已扩容后重新执行。” 这种记录能体现你的专业性。
- 可追溯原则： 每一张记录表格最好有一个唯一的编号（如：INC-2024-001），并能够关联到工单系统、邮件审批记录或截图，别人看到你的台账，能立刻找到原始证据。
自查清单（如何判断台账是否合格？）
- [ ] 资产台账： 能否在5分钟内找到一个特定IP的硬件维保日期？
- [ ] 漏洞台账： 是否有超过半年仍未处理的“高危”漏洞？
- [ ] 事件台账： 是否所有微软/厂商的“紧急安全通告”都有一条对应的记录？
- [ ] 权限台账： 能否查出一个三个月前离职员工的账号是否已删除？
总结建议
不要去追求台账的“形式美感”，而是要关注“逻辑闭环”。
- 小团队/初创公司： 先建一个最简化的Excel表格，核心是记下发生了什么和怎么处理的。
- 中大型企业/监管对象： 一定要上系统或使用专业工具（如Jira、ServiceNow、飞书多维表格等），并设置到期提醒（例如设备要关机了、证书要过期了、账号要过期了）。
如果是为了通过等级保护（等保2.0）或ISO 27001审核，审计员最看重的是：“你说你做了（制度），你的台账能证明你做了（记录），你的记录是连续的（无断档）”。
