系统运维工程师安全操作规程

系统运维工程师安全操作规程第一章总则与适用范围1.1目的为规范系统运维工程师的日常操作行为，降低人为失误导致的生产事故风险，保障业务系统连续稳定运行，特制定本安全操作规程。1.2适用范围本规程适用于所有承担服务器、存储、数据库、中间件、网络设备、云平台及容器集群等基础设施运维工作的工程师，包括正式员工、外包人员及第三方驻场人员。1.3基本原则所有运维操作必须遵循"先备份、后操作；先审批、后执行；先观察、后变更"的三先三后原则。任何可能影响生产环境的操作均须留有审计轨迹，做到操作可追溯、变更可回退、风险可控制。第二章账号与权限管理规范2.1账号生命周期管理运维账号实行实名制管理，每个账号必须对应唯一自然人。账号申请、变更、注销须通过工单系统流转，严禁私自共享账号或使用他人账号执行操作。2.2权限分级控制依据最小权限原则，将运维权限划分为以下等级：权限等级适用范围审批层级有效期限L1-只读权限日志查看、监控数据读取组长审批长期L2-普通操作服务重启、配置修改主管审批按需L3-高危操作数据删除、格式化、防火墙策略变更部门经理+安全团队审批单次有效L4-紧急操作故障应急处理值班负责人授权，事后24小时内补审限时2小时2.3特权账号管理Root、Administrator等特权账号使用须通过堡垒机进行托管，密码由密码保险箱自动保管与轮换。任何需要使用特权账号的场景，必须通过堡垒机发起会话，严禁绕过堡垒机直连服务器。特权会话全程录屏，录像保存周期不少于180天。2.4认证与审计所有运维操作必须经过双因素认证。堡垒机日志、操作录像、命令记录三类审计数据每日自动备份至异地存储，任何删除、篡改审计日志的行为视为严重违规。第三章日常巡检操作规范3.1巡检周期与对象巡检工作分为日检、周检、月检三个层级，覆盖范围包括物理服务器、虚拟机、数据库实例、存储阵列、网络设备、安全设备及业务应用进程。巡检类型周期重点对象执行方式日检每日两次CPU/内存/磁盘使用率、服务进程状态、错误日志自动化巡检+人工复核周检每周一次备份任务结果、日志增长趋势、证书有效期脚本检查+报告输出月检每月一次硬件健康状态、容量预测、安全补丁情况全面体检+趋势分析3.2巡检标准与阈值各项巡检指标须对照基准阈值进行判定，超出阈值应立即触发告警流程：CPU使用率持续15分钟超过85%记为告警内存使用率超过90%记为告警根分区磁盘使用率超过80%记为警告，超过90%记为告警数据盘使用率超过85%须提交扩容申请关键服务进程宕机超过1分钟自动触发短信通知3.3巡检记录管理巡检结果必须如实录入运维管理平台，记录内容包括巡检时间、巡检人、检查项、实际数值、异常描述与处理措施。巡检记录保存期限不少于3年，禁止事后补录或修改历史巡检数据。第四章变更管理操作规范4.1变更分类与分级任何可能影响生产环境的操作均视为变更，变更等级划分如下：变更等级影响范围审批时效实施窗口A类-重大变更跨系统架构调整、核心业务中断提前5个工作日审批仅在维护窗口B类-一般变更单系统配置修改、非核心服务重启提前2个工作日审批业务低峰期C类-标准变更已标准化且低风险操作提前4小时审批随时（限定时段）D类-紧急变更故障修复、安全漏洞处置口头批准后即执行，2小时内补单立即执行4.2变更实施流程变更实施须严格按照"提交申请→影响评估→方案评审→审批通过→实施准备→变更执行→结果验证→关闭工单"八步流程进行。实施前必须完成以下准备工作：确认变更脚本在测试环境验证通过、确定回退方案并验证回退脚本可用性、通知相关业务方变更时间窗与影响范围、准备变更所需的一切权限与资源。4.3变更实施要求变更执行必须由具备相应权限的工程师操作，重大变更须双人执行，一人操作一人复核。变更过程中如发现异常，立即停止操作，按照应急预案执行回退，严禁在异常状态下继续尝试未经验证的修复方案。变更完成后须在观察期内持续监控系统状态，观察期时长根据变更等级确定，A类变更观察期不少于72小时，B类变更不少于24小时。第五章服务器安全操作规范5.1远程操作规范所有远程操作必须通过堡垒机建立连接，禁止使用公网地址直接暴露SSH、RDP等管理端口。远程会话空闲超过15分钟自动断开，重新连接须再次认证。操作前须确认当前会话所处的服务器IP、主机名及环境（生产/测试/开发），避免因多窗口混淆导致误操作。禁止在未确认环境的情况下批量执行脚本。5.2高危命令使用规范以下命令属于高危操作，必须经过审批并在命令执行前二次确认：命令类型风险说明强制要求rm-rf/及变体删除根目录禁止执行mkfs.*格式化文件系统须L3审批+双人复核dd写盘操作直接覆写磁盘数据须L3审批+确认设备号shutdown/reboot重启或关机须L2审批+业务确认drop/truncate清空数据表须备份+L3审批iptables-F清空防火墙规则须L3审批+保存原规则执行任何清除类、覆盖类命令前，必须再次通过主机名、IP地址、挂载信息、数据目录指纹（如数据文件大小与数量）四个维度确认目标正确。5.3补丁与漏洞修复安全补丁应在测试环境完成兼容性验证后，按照"先边缘后核心"的灰度策略分批推送至生产环境。内核级补丁或驱动更新须提前评估与业务应用的兼容性，并在维护窗口内执行。漏洞修复完成后须验证服务可用性并记录补丁版本、安装时间、验证结果等信息。重大高危漏洞的修复时效要求：紧急漏洞12小时内完成处置，高危漏洞72小时内完成处置。5.4硬件维护操作服务器硬件维护（如更换硬盘、内存、电源模块）必须确认设备已从集群中隔离或业务已切换至其他节点。热插拔操作须佩戴防静电手环，拔插硬盘时须核对磁盘槽位标签。维护完成后须通过带外管理系统确认硬件状态正常，再将设备重新纳入集群。硬件更换记录须包括设备SN号、更换部件序列号、操作时间及操作人。第六章数据备份与恢复操作规范6.1备份策略要求所有核心业务数据必须遵循"3-2-1"备份原则，即保留三份数据副本、使用两种不同存储介质、至少一份存放于异地。数据级别备份方式频率保留周期核心数据库全量+增量每日增量、每周全量全量保留12周、增量保留30天配置文件版本化备份每次变更后永久保留应用日志归档压缩每日180天虚拟机镜像快照+复制每周4周6.2备份执行要求备份任务必须设置自动执行与失败告警双重保障，工程师每日确认备份任务执行状态。备份数据须定期进行恢复演练，核心系统每季度至少完成一次实际恢复测试。备份介质须标注备份日期、数据内容、有效期限等标识。备份存储空间须监控剩余容量，确保备份任务不会因空间不足而失败。6.3恢复操作规范数据恢复操作须由数据所属业务方提出申请，经信息安全团队与运维负责人审批后方可执行。恢复操作前须明确恢复目标时间点、恢复范围及恢复后的验证标准。恢复过程须全程记录操作步骤与输出信息，恢复完成后须进行数据完整性校验（如表计数比对、行数校验、应用功能测试）。严禁在未验证数据完整性的情况下将恢复后的数据直接对外提供服务。第七章数据库安全操作规范7.1连接与访问管理数据库连接必须通过应用账号或经审批的只读账号访问，禁止使用数据库超级管理员账号进行业务操作。DBA日常维护须通过专用管理通道登录，避免在业务高峰期执行高负载查询。7.2DML/DDL操作规范在业务库执行数据修改操作（UPDATE、DELETE、ALTER等）必须遵循以下流程：评估影响行数、备份受影响数据、在测试库验证脚本逻辑、提交SQL变更工单、审批通过后于维护窗口执行。单次UPDATE或DELETE影响行数超过1万行时，须拆分批次执行，每批次不超过5000行，批次间隔至少10秒。批量数据修改完成后须核对受影响行数与预期一致，并使用COUNT语句验证数据完整性。7.3数据库维护窗口操作数据库版本升级、参数调整、索引重建等维护操作须安排在维护窗口内执行，并提前向业务方发送维护通知。操作前须完成以下准备：确认数据库当前版本与目标版本兼容性、备份控制文件与参数文件、评估存储空间是否满足需求。升级过程中须持续监控会话连接数、活跃事务数、日志写入速率等关键指标。升级完成后须执行应用连通性测试与核心SQL性能验证。7.4数据库账号安全数据库账号密码须符合复杂度要求（至少12位，包含大小写字母、数字及特殊字符），每90天轮换一次。离职或调岗人员的数据库账号须在24小时内禁用或删除。第八章网络与安全设备操作规范8.1网络设备日常维护网络设备（交换机、路由器、防火墙、负载均衡器）的配置修改必须通过配置管理平台进行，修改前自动备份当前配置。禁止直接在设备上执行未经验证的配置命令。8.2防火墙策略变更流程防火墙策略变更须提交申请，注明源地址、目的地址、协议端口、有效期及申请理由。安全团队审核通过后由网络工程师执行变更，变更完成后须进行连通性验证与安全性验证。策略类型默认策略例外审批定期复核入站规则全部拒绝须安全总监审批每季度出站规则允许已建立会话新出站连接须审核每半年管理面访问仅允许堡垒机IP新增管理来源须审批每月8.3网络安全设备维护安全设备特征库须每周至少更新一次，重大安全事件爆发后须在4小时内完成紧急更新。设备日志须实时同步至日志审计平台，禁止关闭或修改安全设备的日志记录功能。第九章应急响应操作规范9.1故障分级与响应时限故障等级定义响应时限通报范围P1-紧急故障核心业务完全中断5分钟内响应运维负责人+业务负责人P2-重大故障核心功能受影响但未中断15分钟内响应运维负责人P3-一般故障非核心功能受损30分钟内响应当班组长P4-轻微故障影响可忽略4小时内响应处理人自行跟踪9.2应急操作基本原则故障处理须遵循"先恢复、后定位"原则，优先保障业务可用性，而非追求故障根因分析。在业务恢复前，禁止进行大规模日志收集、数据采集等影响系统性能的操作。应急操作中如需执行风险操作（如强制重启数据库节点），须获得值班负责人授权，并做好操作记录。任何应急操作都须保留完整的操作时间线与操作内容记录，用于事后复盘。9.3应急预案演练每半年至少组织一次全流程应急预案演练，涵盖硬件故障、网络中断、数据损坏、安全攻击四类典型场景。演练须设置盲演环节（不预先通知时间），检验真实应急响应能力。演练结束后须输出评估报告，指出响应流程中的薄弱环节并限期整改。整改项须明确责任人、整改措施与完成时限，由运维负责人跟踪验证整改效果。第十章机房巡检与物理安全规范10.1机房进出管理进入机房须通过门禁系统认证并登记访问事由，严禁将机房门禁卡转借他人。机房访问权限按最小需求原则开通，访问结束后权限自动回收。10.2机房环境巡检进入机房巡检时，须按标准路线检查并记录以下项目：巡检项目正常范围异常处理温度18-27℃超过27℃须检查空调运行状态并上报湿度40%-70%超出范围须启动除湿或加湿设备漏水检测无告警立即排查水源并通知物业UPS状态在线供电，电池正常电池异常须切换旁路并联系厂家空调运行无告警，出风正常异常须切换备用空调10.3设备操作物理安全在机柜内插拔设备或线缆前，必须确认设备位置与标签标识一致，禁止带电插拔非热插拔模块。拆卸的硬盘、内存等部件须妥善存放，废弃存储介质必须经过消磁或物理销毁方可丢弃。第十一章合规与审计要求11.1日志与审计记录所有运维操作产生的日志、命令记录、变更记录、审批记录等须按照类别存储于集中审计平台，具体保存期限如下：记录类型保存期限加密要求堡垒机操作录像180天AES-256加密存储命令执行日志3年防篡改存证变更审批工单3年只读归档备份与恢复记录3年完整性校验机房进出记录2年门禁系统自动记录11.2定期合规审计信息安全团队每季度对运维操作进行抽查审计，重点核查以下内容：特权账号使用频次与用途、非工作时间操作记录、批量命令