本文目录导读：
网络安全中的安全配置核查（Security Configuration Audit/Check）是评估和验证网络设备、服务器、数据库、应用系统等是否按照安全基线进行了正确配置的过程，目的是发现配置中的薄弱环节,防止因配置不当导致的安全风险。
以下是进行安全配置核查的标准化步骤和方法：
核查前的准备
在开始核查前,需要明确以下内容：
- 确定核查范围与对象：明确要核查哪些资产，如：路由器、交换机、防火墙、Linux/Windows服务器、数据库（MySQL、Oracle等）、中间件（Tomcat、Nginx、WebLogic）、云平台组件等。
- 制定安全配置基线：这是核查的“尺子”，基线通常参考国家/行业标准（如等保2.0、CIS Benchmarks、ISO 27001）、厂商最佳实践或企业内部规范，基线内容涵盖：
- 账户与口令策略（复杂程度、锁定阈值）。
- 服务与端口管理（禁用不必要服务）。
- 访问控制（最小权限原则）。
- 日志审计（记录哪些操作）。
- 漏洞补丁与加密协议。
- 获取授权与选择工具：明确的授权是合法合规的前提，根据环境选择核查方式：
- 自动化工具有： Tenable Nessus、Qualys、绿盟极光、安恒明鉴、OpenSCAP（开源），这些工具可以批量执行脚本，性能高、误差小。
- 脚本工具有： 自研PowerShell脚本、Shell脚本或Python脚本连接设备执行命令。
- 手动核查： 用于无法自动化的设备或关键系统，通过SSH/RDP登录后逐条检查。
核查执行过程（核心步骤）
身份与口令策略核查
- 检查点：
- 是否禁止空口令和默认口令。
- 口令长度（通常要求8位以上）和复杂度（字母+数字+特殊字符）。
- 口令历史记录（是否禁止重复使用最近N次口令）。
- 账户锁定策略（连续输错几次后锁定）。
- 示例（Linux）： 检查
/etc/login.defs和/etc/pam.d/system-auth。
账户与权限核查
- 检查点：
- 是否存在僵尸账户、过期账户、共享账户。
- root或Administrator账户是否启用并限制远程登录。
- 普通用户是否拥有超出职责的权限（如
sudo提权是否合理）。 - 文件与目录权限（etc/shadow是否只有root可读）。
服务与端口核查
- 检查点：
- 是否关闭了不必要的高危服务（如Telnet、SNMP V1/V2c、FTP、Rlogin）。
- 监听端口是否仅为业务必需端口（如80、443、22）,避免开发测试端口暴露。
- 防火墙规则是否遵循“默认拒绝，白名单放行”原则。
安全协议与加密核查
- 检查点：
- 是否禁用SSL V2/V3、TLS 1.0/1.1等老旧协议（易受POODLE、BEAST攻击）。
- 是否使用SSH V2替代Telnet。
- 数据库连接是否使用加密（如MySQL的SSL/TLS连接）。
- 远程桌面（RDP）是否强制使用网络级身份验证（NLA）。
日志与审计核查
- 检查点：
- 是否开启了系统安全日志、审核策略（如登录成功/失败、对象访问）。
- 日志大小、保留周期（建议保留180天以上）和轮转策略。
- 日志是否被集中收集到安全信息与事件管理（SIEM）系统。
补丁与更新核查
- 检查点：
- 操作系统和关键软件是否安装最新的安全补丁。
- 是否关闭了自动更新（避免生产环境意外中断）,但有明确的补丁管理流程。
网络设备与防火墙特定核查
- 访问控制列表（ACL）： 检查是否存在“permit any any”的宽泛规则。
- 管理接口： 是否限制管理IP（仅允许管理网段访问），并禁用HTTP管理（使用HTTPS）。
- 端口安全： 是否启用（如交换机上的Mac地址限制）。
结果分析与报告生成
- 结果对比：将核查结果与安全基线进行逐项比对，自动化工具通常按“通过”、“失败”、“警告”进行标注。
- 风险定级：根据严重程度排序，
- 高危： 存在默认口令、开放Telnet、root可直接SSH登录、已知漏洞未修复。
- 中危： 密码策略过于简单、未开启登录失败锁定、日志保留期不足。
- 低危： 警告信息（如审计日志未包含某些非关键事件）。
- 输出报告：
- 格式： Excel、HTML或PDF。
- 资产清单、通过率、具体不合规项（配置路径/命令）、建议的修改方案，报告必须给出修复优先级和修复指令（执行
sed -i 's/PASS_MAX_DAYS 99999/PASS_MAX_DAYS 90/g' /etc/login.defs）。
整改与复验（闭环）
这是整个流程的关键，否则核查只是“体检”而不“治病”。
- 下发整改任务：将报告分发至系统管理员、网络管理员、开发人员。
- 分阶段实施：
- 立即修复（高优）： 修改弱口令、关闭高危服务。
- 窗口期修复（中低优）： 修改密码策略、调整防火墙规则（需变更评审）。
- 整改确认：系统管理员完成修改后，通过快速复查（再次执行核查脚本）验证配置是否整改成功。
- 基线版本控制：如果发现基线过于严格（导致业务中断），需要在评审后更新基线文档和工具规则库,并保留审计记录。
常见注意事项（避坑指南）
- 避免业务影响： 严禁在生产环境直接运行可能触发系统锁定的脚本（如尝试模拟暴力破解锁定账户），核查通常是只读操作（
-- check only）。 - 关注非标准化配置： 部分合规要求（如密码最长使用期为30天）可能适用于所有设备，但DB或Hadoop集群可能有特殊要求,需区分对待。
- 利用自动化平台： 在大型网络中（> 1000台设备），使用人工核验是不现实的，建议使用堡垒机或配置管理数据库（CMDB）结合自动化工具进行批量和定期扫描。
- 基线需定期更新： 网络环境变化、新漏洞曝光（如Log4j、OpenSSL漏洞），会导致旧基线失效,建议每季度或遇到重大漏洞事件时更新基线。
总结流程简图
制定基线 → 授权许可 → 自动化扫描/手动检查 → 分析差距(风险评级) → 输出报告 → 整改修复 → 复查验证 → 持续监控
通过这套标准的核查流程，可以系统性发现环境中的配置风险,有效提升整体安全防御能力。
