网站安全定期巡检检查表

网站安全定期巡检检查表一、巡检工作总体要求巡检不是走马观花的打卡，而是发现系统深层隐患的唯一主动防御手段。本规程旨在通过标准化的检查项与量化阈值，将安全巡检转化为可追溯、可度量的日常动作。1.1适用范围与对象本规程适用于公司所有对互联网提供服务的Web站点、API接口服务及其底层运行环境（含操作系统、Web中间件、数据库及网络设备）。内网测试环境参照执行，但可豁免部分网络层检查项。1.2人员角色与职责划分•巡检执行人（安全运维工程师）：负责按检查表逐项执行扫描、配置核查与日志分析，如实记录数据，对发现的异常开具整改工单。•系统管理员（后端/运维开发）：负责配合巡检执行人提供账户权限，接收整改工单并在规定SLA内完成修复。•安全负责人（技术总监/CTO）：负责审批高危漏洞的停机修复计划，裁定例外白名单。1.3巡检频次与分级要求•日常巡检（每日08:30前完成）：侧重可用性监控、安全告警复核与核心日志抽查。耗时控制在30分钟内。•月度巡检（每月5日前完成）：侧重补丁更新核查、账户权限审计与漏洞扫描。耗时控制在2小时内。•季度巡检（每季度首月10日前完成）：全面基线核查、渗透测试复盘与应急预案演练。耗时控制在1个工作日内。二、系统与网络环境检查底层系统与网络配置是网站安全的地基，任何一道防线的缺位都会导致上层应用防护形同虚设。本章节检查重点在于阻断未经授权的网络流入与系统提权路径。2.1服务器系统基线核查1.身份认证机制◦检查动作：登录Linux服务器执行cat/etc/ssh/sshd_config|grep-E"PermitRootLogin|PasswordAuthentication"；登录Windows服务器检查本地安全策略中“账户锁定阈值”。◦判定标准：PermitRootLogin必须为no；PasswordAuthentication优先配置为no（强制密钥登录），若业务特性必须使用密码登录，则必须开启MaxAuthTries3且密码复杂度必须包含大小写、数字及特殊符号，长度≥12位。Windows账户锁定阈值必须≤◦风险演化：若允许Root直接密码登录，攻击者通过SSH爆破获取Root权限→植入内存马与持久化后门→窃取数据库凭据→导致全站数据泄露。◦异常处置：发现配置不符，巡检人24小时内下发整改单；系统管理员48小时内修改配置并复测，期间应当临时将服务器访问IP限制在堡垒机出口IP白名单内。2.端口开放状态◦检查动作：在外部测试机执行nmap-sS-p1-65535<公网IP>，在服务器本机执行netstat-tulnp。◦判定标准：对外仅允许80、443端口；管理端口（SSH22、RDP3389、数据库3306/1433等）严禁直接对公网暴露。若必须远程管理，应当通过VPN或堡垒机跳转访问。◦异常处置：发现异常高危端口对外暴露，巡检人必须立即在边界防火墙添加阻断规则，5分钟内电话通知系统管理员排查是否已被植入挖矿木马或勒索软件。2.2网络与防火墙配置核查1.WAF（Web应用防火墙）规则与日志◦检查动作：登录WAF控制台，查看过去24小时的拦截日志与规则更新状态。◦判定标准：WAF必须开启拦截模式，严禁长期处于“观察模式”或“bypass状态”；规则库最后更新时间必须在7天以内。◦异常处置：若WAF规则库超过7天未更新，应检查授权状态与网络连通性；若发现WAF被绕过的攻击成功事件，必须立即手动添加自定义防护规则，并启动应急响应流程。2.TLS/SSL证书与协议配置◦检查动作：使用openssls_client-connect<域名>:443-tls1_2测试协议支持情况；使用QualysSSLLabs在线工具评级。◦判定标准：必须禁用SSLv2、SSLv3、TLS1.0和TLS1.1协议；优先支持TLS1.2和TLS1.3。证书有效期剩余时间必须≥30◦风险演化：旧版TLS协议存在POODLE、BEAST等降级攻击漏洞→攻击者在链路中间截获加密流量→还原用户会话Cookie→实现账号越权访问。◦异常处置：证书有效期不足30天，巡检人1小时内向CA机构发起续签申请；协议版本过低，系统管理员2小时内修改Nginx/Apache配置文件并重载服务。三、Web应用与中间件检查Web应用与中间件直接暴露在互联网攻击面下，是外部渗透的必经之路。本章节重点排查已知组件漏洞与业务逻辑缺陷。3.1Web中间件安全配置1.隐藏服务器版本信息◦检查动作：执行curl-Ihttps://<域名>/检查HTTP响应头。◦判定标准：响应头中的Server字段严禁包含具体的版本号（如nginx/1.18.0），X-Powered-By字段严禁暴露PHP/Java等语言版本。必须修改配置文件关闭server_tokens（Nginx）或ServerSignature（Apache）。◦风险演化：暴露精确版本号→攻击者在漏洞库中精准匹配对应版本的Nday漏洞→利用现成EXP脚本直接获取WebShell→控制整个服务器。2.错误页面与调试信息重定向◦检查动作：在浏览器地址栏输入https://<域名>/test_not_exist_page.php或故意输入畸形参数。◦判定标准：严禁返回包含物理路径、数据库连接信息、代码调用栈的详细报错页面（如PHP的var_dump报错或Tomcat异常堆栈）。应当统一重定向至自定义404或500页面。◦异常处置：若发现物理路径泄露，开发人员必须4小时内在全局配置文件中关闭调试模式（如Laravel将APP_DEBUG设为false），并排查对应目录的访问权限。3.2目录权限与文件完整性1.关键目录写权限限制◦检查动作：登录服务器执行ls-ld/var/www/html/uploads/检查上传目录权限，执行find/var/www/html-name"*.php"-perm/o+w查找可写的脚本文件。◦判定标准：上传目录（如uploads/、attachment/）严禁赋予执行权限（Nginx配置中需添加location~*^/uploads/.*\.(php|php5)${denyall;}）；核心代码目录所有者应为root或专用www用户，严禁设置777权限。◦动作机理：限制执行权限是为了阻断WebShell的运行链路。即使攻击者利用文件上传漏洞将恶意脚本上传至uploads/目录，由于Web进程在该目录无执行权限，恶意脚本也无法被解析调用。2.核心文件哈希校验◦检查动作：计算入口文件（如index.php）与核心框架初始化文件的SHA-256哈希值，与上月巡检记录比对。◦判定标准：哈希值必须与上月记录完全一致。若不一致且无经审批的发版记录，视为文件被篡改。◦异常处置：发现哈希不匹配，巡检人必须立即将服务器断网隔离（保留内存镜像供取证），并启动高级别应急响应，排查是否已存在内存马或Rootkit。四、数据库与数据安全检查数据库是网站最核心资产的载体，任何非授权访问或数据泄露均属于最高级别安全事故。本章节以“最小权限原则”和“不可逆破坏防御”为主线展开核查。4.1访问控制与备份策略核查1.数据库账户权限审计◦检查动作：登录MySQL执行SELECTuser,hostFROMmysql.user;及SHOWGRANTSFOR'<业务账户>'@'<Web服务器IP>';。◦判定标准：Web应用连接数据库的账户严禁使用root或sa等超级管理员账户；业务账户必须仅授予对应库的SELECT、INSERT、UPDATE、DELETE权限，严禁授予DROP、ALTER、GRANT等危险权限。账户绑定Host必须限定为Web服务器的内网IP，严禁配置为%。◦风险演化：业务账户拥有DROP权限且允许任意IP登录→攻击者通过SQL注入获取数据库交互权→直接执行DROPDATABASE→业务数据彻底丢失且难以恢复。2.数据备份与恢复演练◦检查动作：检查备份脚本执行日志，验证备份文件大小与时间戳；随机抽取上月的一个备份文件尝试在测试环境恢复。◦判定标准：数据库必须执行每日全量备份+每小时增量备份；备份文件必须加密传输至异地存储（如云对象存储或异地NAS），本地保留周期≥7天，异地保留周期≥◦异常处置：若发现备份任务连续3天失败，按P1级故障处理，系统管理员1小时内修复备份链路，巡检人同步向上级汇报；若季度演练未执行，安全负责人需在当月管理评审会上说明原因并给出整改期限。五、安全日志与审计检查日志是事后追溯和攻击复盘的唯一铁证，缺失或被篡改的日志将导致安全事件沦为无头公案。本章节确保日志的完备性、防篡改性与可分析性。5.1日志策略与存储配置1.系统与Web日志保留策略◦检查动作：检查/etc/logrotate.d/配置及Nginx/Apache的日志切割策略；查询SIEM（安全信息与事件管理）系统的存储容量。◦判定标准：依据《中华人民共和国网络安全法》要求，网络日志留存时间必须≥6◦动作机理：将日志实时转发至异地独立存储，是为了切断攻击者“抹除痕迹”的链路。当攻击者获取本地服务器Root权限后，通常会执行rm-rf/var/log/*或修改日志配置以掩盖行踪，异地同步机制能确保原始攻击记录留存。2.审计规则完备性◦检查动作：在Linux服务器执行auditctl-l检查Auditd规则。◦判定标准：必须对关键系统文件（如/etc/passwd、/etc/shadow、/etc/sudoers）的读写与属性变更操作配置审计规则；必须对sudo命令的执行配置审计。◦异常处置：若审计规则缺失，系统管理员4小时内补全规则配置，并重新加载Auditd服务。六、巡检异常处置与应急响应发现异常后的处置速度与规范化程度，直接决定了故障或攻击的影响半径。本节确立了基于严重程度的分级响应机制，确保非正常路径下的快速阻断。6.1异常分级与启动权限1.P0级（极高危）◦判定标准：网站首页被篡改（挂马/黑页）、数据库被勒索或清空、大规模用户数据泄露、核心业务系统瘫痪超15分钟。◦启动权限与处置原则：巡检人或任何发现人必须5分钟内电话直报安全负责人与CTO；安全负责人10分钟内启动应急响应预案。原则为“先阻断业务止损，后分析溯源”，必须立即在边界防火墙切断外部访问或拔掉网线。2.P1级（高危）◦判定标准：发现高危RCE（远程代码执行）漏洞且存在利用痕迹、核心管理端口对公网暴露超过24小时、WAF被大规模绕过。◦启动权限与处置原则：巡检人30分钟内发送邮件及即时通讯消息通知系统管理员及安全负责人。原则为“限时修复与严密监控并重”，系统管理员2小时内必须下发热补丁或临时防护规则（如在WAF拦截特定Payload），若4小时内无法修复，必须申请停机维护。3.P2级（中低危）◦判定标准：TLS证书即将过期（≤30◦处置原则：巡检人24小时内在工单系统创建整改任务，系统管理员按SLA（通常为3-5个工作日）完成修复并回复工单，巡检人复测后关闭工单。6.2处置流程与闭环机制所有巡检异常必须遵循“计划-执行-检查-改进”的闭环机制：•计划：识别异常并评估风险等级，制定临时缓解措施与根本修复方案。•执行：按方案实施修复，操作前必须有回退预案（如备份原配置文件、保留旧版本安装包）。•检查：巡检人对修复结果进行验证性扫描或配置复核。•改进：若同类异常连续发生，必须在月度安全例会上提出修订基线标准或增加自动化监控告警策略的要求。七、附录：可执行工具与表单标准化表单是规范操作的基础，确保不同巡检人员在不同时间产出一致的结果。本附录提供直接可用的记录与追溯工具。附件一：网站安全定期巡检检查表（样表）检查类别检查项量化判定标准实测结果是否通过异常说明与整改工单号执行人检查时间系统环境SSHRoot登录PermitRootLoginnono是无张某2024-05-0410:00系统环境高危端口暴露仅放行80/44380,443,22否22端口暴露公网，已临时封堵#IT-102张某2024-05-0410:15Web中间件Nginx版本隐藏server_tokensoffoff是无张某202