企业网络安全加固清单：从入门到合规的20条检查项

# 企业网络安全加固清单：从入门到合规的20条检查项 ## 前言 网络安全事件频发的今天，一次勒索病毒攻击或数据泄露就可能让企业蒙受巨大损失。但很多企业的安全防护仍然停留在"买了防火墙就行"的阶段。本文整理了一份实用的安全检查清单，覆盖四个关键维度，适合安全运维人员对照自查。 ## 一、网络边界防护（5条） **1. 检查防火墙规则是否逐渐收紧** 很多防火墙的规则只会增加不会删除。每月清理一次不再需要的端口映射和ACL规则，关闭临时开通后忘记回收的端口。 **2. 验证WAN口管理访问是否已关闭** 除非必要，禁止从互联网直接访问路由器或防火墙的管理界面。如果必须远程管理，使用VPN接入后再访问，不要暴露管理端口。 **3. 确认默认密码已全部更换** 包括路由器、交换机、防火墙、AP、打印机、摄像头在内的所有网络设备，逐一确认默认密码已更改为强密码。一个被遗忘的摄像头可能就是攻击的入口。 **4. 检查内网隔离是否到位** 办公网、访客网、服务器网段、监控网段之间是否有ACL隔离？访客网络应该只能访问互联网，不能触及内网任何资源。 **5. VPN网关固件是否为最新** VPN是远程接入的生命线也是攻击面。关注厂商安全公告，发现认证绕过或缓冲区溢出等漏洞后24小时内完成升级。 ## 二、服务器安全基线（5条） **6. 操作系统安全更新是否及时** 建立月度补丁更新机制，微软补丁日和重要CVE修复一到两周内必须完成测试和部署。 **7. 是否关闭不必要的服务** Windows 服务器的 NetBIOS、LLMNR、SMBv1 和 Linux 服务器上多余的守护进程都是攻击者喜欢的目标。用 netstat 或 ss 命令检查监听端口，关掉不需要的服务。 **8. 是否启用主机防火墙** 即使前面有企业防火墙，主机层面的防火墙（Windows 防火墙、iptables 或 nftables）也应该开启，做纵深防御。最小化原则：只开放业务需要的端口。 **9. 是否部署了EDR或杀毒软件** 传统的签名杀毒已不足以应对现代威胁，建议部署端点检测与响应产品，可以检测到无文件攻击和横向移动等行为。 **10. 是否配置了登录失败锁定策略** Windows 组策略或 Linux 的 fail2ban，设置连续5次登录失败后锁定15分钟，有效防御暴力破解。 ## 三、身份认证与访问控制（5条） **11. 是否启用多因素认证** 所有面向互联网的系统入口（VPN、邮箱、OA）必须启用MFA。即使是内部系统，有条件也建议加MFA，因为横向移动一旦攻破内网一台机器就能无障碍访问。 **12. 是否遵循最小权限原则** 日常办公使用普通域用户而非管理员账户。服务器管理使用堡垒机或跳板机，不直接使用管理员账号登录。 **13. 离职员工的账号是否及时禁用** 建立IT和HR的联动流程，员工离职当天必须禁用所有账号、回收VPN证书、归档邮箱数据。 **14. 管理员密码强度是否符合标准** 至少12位，包含大小写字母、数字和特殊字符。不同系统使用不同密码，不重复。推荐使用密码管理器统一管理。 **15. 特权账号操作是否有审计** 堡垒机记录所有操作命令，能够回放操作过程。特权会话的录像保存至少6个月。 ## 四、日志与审计（5条） **16. 关键设备的日志是否集中收集** 使用 Graylog、ELK 或其他 SIEM 系统集中收集防火墙、服务器、数据库的日志。分散的日志出事后等于没有日志。 **17. 是否开启NTP时间同步** 所有设备配置同一NTP服务器，确保日志的时间戳一致。时间不对会导致事后追溯时根本无法对齐攻击时间线。 **18. 是否配置了告警规则** 单纯的日志收集没有意义。设置关键告警：连续登录失败、管理员账号非工作时间登录、大量数据外传等。 **19. 日志是否保留至少6个月** 等保要求日志留存不少于6个月，涉密系统要求更长。存储空间有限时，按日志重要程度分级保留。 **20. 是否定期进行渗透测试** 至少每年一次，由外部安全团队或内部红队执行。渗透测试能发现自查容易遗漏的逻辑漏洞和配置缺陷。 ## 总结 安全不是一次性采购硬件就能解决的问题。这20条清单中，防火墙规则清理、默认密码更换、登录失败锁定这三条是成本最低且见效最快的，建议今天就对照检查。 先补齐基础项，再逐步推进到身份认证和日志审计。安全建设是一个长期的过程，关键是坚持执行。