杀毒软件运维与病毒查杀检查表

杀毒软件运维与病毒查杀检查表一、文档定位与使用规则杀毒软件不是“安装即结束”的安全产品，而是一套依赖版本更新、策略执行、持续监测和应急处置的运行体系。本检查表用于企业终端、服务器和虚拟化环境的杀毒软件运维、病毒查杀、告警研判与事件闭环，适用于Windows、Linux终端及服务器，macOS可参照执行。1.检查人员应当按本表现场核对实际配置、运行日志和查杀记录，不得仅凭被检查人口头确认勾选“符合”。2.检查结果分为“符合、不符合、不适用”三类；选择“不适用”时，必须在备注中说明原因，例如该服务器为无代理防护模式。3.所有“不符合”项必须填写整改责任人、完成时限和复验结果；涉及高危病毒、勒索软件或防护失效的项，必须立即升级处置。4.本检查表中的时限为最低要求。企业已有制度要求更短时限的，按更严格要求执行。5.检查过程中获取的主机名、IP地址、账号、日志样本等信息，仅限安全运维使用；对外提交时应当对个人信息和敏感系统信息进行脱敏。项目内容文档版本V1.0编制部门信息安全管理部门适用范围办公终端、业务服务器、虚拟化主机及经网络接入的专用终端检查周期日常巡检、月度检查、季度专项检查、重大节假日前检查执行人安全运维工程师、系统管理员、部门信息安全员审批人信息安全负责人二、角色职责与运维周期杀毒软件运维的失效，通常不是单点技术故障，而是职责边界不清、检查频率不足和问题整改无人跟踪导致的系统性失效。因此，每个系统、每台终端都必须有明确责任人和可追溯的运维记录。角色主要职责关键输出信息安全负责人审批防护策略、病毒事件定级、重大整改和外部通报策略审批记录、事件处置结论安全运维工程师管理控制台、病毒库升级、策略下发、告警研判、病毒查杀和溯源巡检记录、告警处置单、病毒事件报告系统管理员配合服务器扫描、业务恢复、账号排查和系统加固业务验证记录、整改确认单终端使用人保持终端在线，不得擅自关闭防护，配合病毒查杀和隔离终端确认记录部门信息安全员跟踪本部门终端覆盖率、离线终端和整改完成情况部门整改台账工作事项频率责任人完成时限要求控制台状态和告警看板检查每个工作日1次安全运维工程师当日10:00前完成病毒库和引擎版本检查每日自动检查，每周人工复核1次安全运维工程师发现未更新后2小时内处理终端快速查杀每周至少1次安全运维工程师/使用人按计划在7日内完成服务器和重点终端完整查杀每月至少1次安全运维工程师、系统管理员业务低峰期执行，48小时内复核结果离线、未安装、长期未重启终端清理每月1次部门信息安全员每月最后3个工作日前闭环策略有效性和排除项审计每季度1次信息安全负责人组织审计完成后5个工作日内出具报告勒索软件等病毒应急演练每半年至少1次信息安全管理部门演练后10个工作日内完成改进三、安装覆盖与基础状态检查覆盖率决定防护边界。未安装、未注册或长期离线的主机，是蠕虫、勒索软件横向移动最常利用的薄弱节点。序号检查项合格标准与操作要点频率结果3.1防病毒客户端覆盖率在线资产中防病毒客户端安装率达到100%；新增资产应在入网后2小时内完成客户端注册。每日3.2控制台连通性控制台能正常显示客户端在线状态、策略版本、病毒库版本和最近心跳时间；心跳超过24小时判为离线异常。每日3.3客户端服务状态防病毒核心服务、驱动和实时监控进程处于运行状态；服务异常重启后30分钟内仍未恢复的，转事件处理。每日3.4引擎和病毒库版本联网设备病毒库发布时间距检查时间不超过7天；关键服务器应在测试通过后24小时内更新。每日3.5策略一致性主机所属策略与资产清单中的部门、用途、重要级别一致；禁止主机长期停留在临时测试策略。每周3.6控制台账号权限账号按最小权限分配，管理员账号启用多因素认证；离职、转岗人员账号应在1个工作日内禁用或调整。每月3.7控制台时钟控制台、客户端和日志服务器时间偏差不超过5分钟，统一使用NTP对时。每月3.8告警通知病毒告警、客户端离线、病毒库过期等通知可发送至安全运维人员；通知延迟不超过15分钟。每月3.1离线终端处置要求离线超过24小时的终端，安全运维工程师应当核实原因；无法联系使用人的，通知部门信息安全员现场确认。离线超过3个工作日的办公终端，应当限制其访问内部业务系统，待恢复防护并完成快速查杀后再开放网络访问。严禁为绕过准入控制而将未安装防病毒客户端的主机直接加入服务器区域网络。确因系统兼容性无法安装标准客户端的，应当采用网络准入限制、专用无代理防护、隔离VLAN或人工查杀补偿措施，并由信息安全负责人审批。四、防护策略配置检查策略配置的核心是在安全、业务连续性和系统性能之间取得可审计的平衡。任何关闭实时防护、扩大扫描排除项的操作，都必须有业务依据、审批记录和复查期限。序号检查项合格标准与操作要点频率结果4.1实时防护文件读取、写入和执行时均启用实时扫描；关键服务器还应启用脚本和可疑行为监控。每周4.2自动处理策略明确病毒、木马、蠕虫、广告软件和灰色软件的处理动作；优先清除，无法清除时隔离，不能隔离时拒绝访问并告警。每月4.3隔离区管理隔离文件保留期限不少于30天且不超过90天；隔离区空间不足时应告警，不得自动静默删除。每月4.4U盘和移动介质防护接入移动介质时自动扫描；未完成扫描前不得自动运行其中程序。每月4.5下载和邮件附件防护可执行文件、脚本、压缩包和宏文件应执行扫描；加密压缩包应在解压或执行时扫描。每月4.6勒索行为防护关键目录启用未授权修改、批量加密和可疑进程拦截；告警须通知安全运维人员。每季度4.7防篡改保护客户端防卸载、防退出、防策略篡改功能处于启用状态；卸载密码由专人保管。每季度4.8排除项所有排除项均关联工单、业务原因、审批人和到期时间；不得配置整盘、根目录或通配范围过大的排除项。每季度4.1扫描排除项控制扫描排除项只能用于解决明确的兼容性或性能问题，不能作为长期替代排查的手段。新增排除项应按以下顺序处理：1.优先通过升级软件版本、更新病毒库、提交误报样本或调整扫描时机解决问题。2.不具备上述条件时，可按最小化原则排除特定文件、目录或进程，并设置不超过90天的复查期限。3.严禁排除C:\、/、/home、系统目录、浏览器下载目录、上传目录、临时文件目录等高风险大范围路径。4.数据库、邮件、工业控制等专用系统的排除项，应当依据厂商正式书面建议配置，并由系统管理员和信息安全负责人共同确认。5.紧急故障中临时新增的排除项，应在24小时内补提审批，故障消除后立即删除。五、病毒库、引擎更新与补丁联动病毒库和引擎更新滞后，会使防病毒系统无法识别新型样本；而未经测试直接在业务服务器更新，也可能引发业务中断。更新管理必须同时满足时效性和可回退性。场景更新要求异常处理办公终端每日自动更新病毒库；客户端发布后7日内完成更新更新失败自动重试3次；仍失败则产生工单一般服务器每周至少更新1次，优先在业务低峰执行先在测试或灰度服务器验证，24小时无异常后推广关键服务器病毒库更新不超过7天；引擎升级前必须制定回退方案业务负责人和安全负责人双审批隔离区或专网主机使用离线更新包，每周至少更新1次离线包须先在隔离测试环境校验完整性重大病毒预警期间根据预警要求提高更新频率2小时内完成重点资产版本核查更新前应记录当前病毒库版本、引擎版本和策略版本；更新后通过控制台抽查不少于10台终端或5%的在线终端，数量少于10台时全部检查。服务器更新后应由系统管理员验证业务进程、磁盘I/O、CPU和内存占用，观察期不少于2小时。防病毒不能替代操作系统和应用补丁。对存在漏洞利用传播风险的病毒事件，安全运维工程师应当同步核查补丁状态；高危漏洞补丁应在测试通过后按规定时限安装，无法立即安装时，应采取网络隔离、虚拟补丁、访问控制或停用高危服务等补偿措施。六、病毒查杀作业规程病毒查杀的关键不在于“点击全盘扫描”，而在于根据主机重要性、告警类型和业务时段选择扫描方式，并在查杀前后保持证据、备份和业务验证的闭环。6.1扫描类型与适用场景扫描类型扫描范围适用场景执行要求快速扫描内存、启动项、系统关键目录和正在运行的进程日常巡检、病毒库更新后、终端接入网络前发现病毒后自动升级为完整扫描完整扫描所有本地磁盘、引导区、压缩包和脚本文件月度检查、确认感染、勒索事件处置后在业务低峰执行，服务器须有系统管理员在场自定义扫描指定目录、移动介质或文件共享目录下载目录、上传目录、U盘、可疑样本目录扫描完成前不得打开其中可执行文件离线扫描使用独立查杀环境或应急介质扫描系统被破坏、防病毒服务无法启动、Rootkit疑似感染优先保留内存和磁盘证据后执行启动前扫描系统重启后在文件未被锁定前扫描顽固病毒、驱动级木马或正常系统中无法清除的样本须提前通知使用人并保存业务数据6.2查杀前准备1.核对主机名称、IP地址、资产责任人、业务系统和运行时段，避免在错误主机上执行扫描。2.通过控制台或系统命令记录CPU、内存、磁盘剩余空间和关键业务进程状态。3.对关键业务服务器，应确认最近一次备份完成时间；备份不可用或超过7天的，应先完成可恢复备份。4.评估扫描性能影响。完整扫描期间CPU持续超过85%或磁盘队列明显升高影响业务时，应降低扫描优先级、调整扫描并发度或改期执行。5.发现勒索、蠕虫或横向移动迹象时，不得先执行删除操作，应先按第7章隔离主机并保全证据。6.3查杀执行与结果判定1.扫描开始前确认病毒库为最新版本；无法更新的，应使用最近24小时内发布的离线病毒库。2.扫描过程中不得关闭实时防护，不得手动终止扫描进程；确需中止的，应记录原因并重新安排完整扫描。3.对压缩包、自解压程序、脚本、宏文件和移动介质应纳入扫描范围；加密压缩包无法扫描时，应在解压目录再次扫描。4.查杀动作优先选择“清除”；清除会破坏文件完整性或无法清除时，选择“隔离”；业务必需文件被隔离时，应先从可信备份恢复，不得直接恢复被隔离的感染文件。5.查杀完成后应重启主机并进行二次扫描。二次扫描未发现威胁，且72小时内无同类告警，方可判定本次处置完成。6.对反复感染的文件，应判断是文件本身带毒、启动项反复释放，还是其他主机通过共享目录和弱口令横向传播。仅反复删除文件而不消除传播入口，不能视为处置完成。七、告警研判与病毒事件分级处置病毒事件处置必须同时阻断当前主机、传播路径和再次感染入口。对勒索软件、蠕虫等事件，错误关机或单纯清理文件，可能导致证据丢失、业务无法恢复和全网扩散。7.1风险演化路径常见病毒事件的演化路径如下，处置时应在对应环节设置阻断点：•钓鱼邮件或恶意下载→用户打开宏文件或伪装程序→木马在本机执行→窃取账号哈希和口令→通过远程桌面、共享目录或漏洞横向移动→批量加密或窃取数据。•U盘在外部终端感染→接入内部主机→利用自动运行或诱骗文档执行→感染共享目录→其他访问共享目录的主机继续扩散。•服务器存在高危漏洞或弱口令→攻击者上传WebShell或投放挖矿程序→持久化计划任务和系统服务→占用算力、窃取数据或作为内网跳板。7.2事件分级级别判定标准启动权限处置时限一级事件出现勒索软件、数据加密、批量删除、蠕虫横向移动、关键服务器被控或超过10台终端感染信息安全负责人立即启动，必要时上报企业应急负责人15分钟内隔离受影响主机，2小时内形成初步影响范围二级事件2至10台主机感染相同病毒，或非关键服务器发现木马、后门、挖矿程序，存在内网传播可能安全运维主管决定启动30分钟内开始处置，8小时内控制传播三级事件单台终端发现广告软件、普通病毒或低风险灰色软件，无横向移动和数据泄露迹象安全运维工程师按工单处置4个工作小时内完成处置7.3一级事件处置步骤1.立即网络隔离。优先通过控制台隔离主机、禁用交换机端口或将主机移入隔离VLAN；远程方式不可用时，可物理拔除网线。2.保持主机开机状态。严禁直接关机或重启，因为内存中的进程、网络连接和加密密钥可能随断电丢失；如现场有火灾、设备损坏等必须断电的情形，应先拍照并记录屏幕信息。3.拍摄或记录勒索信、进程列表、网络连接、异常账号、共享会话和最近修改文件，保存系统日志、安全日志和防病毒日志。4.暂停受影响网段的高风险共享访问和弱口令账号，但不得未经审批批量关闭核心业务系统。5.使用可信备份恢复数据。恢复前应确认备份文件未被感染，恢复后先隔离运行、安装补丁、修改密码，再接入生产网络。6.排查同一攻击路径下的其他主机，检查范围至少包括同网段主机、使用相同账号密码的主机、访问过相同共享目录的主机以及存在同一高危漏洞的主机。7.事件解除条件为：受影响主机完成查杀或重建，传播漏洞已修复，同类告警连续72小时未再出现，业务系统验证正常。7.4禁止性要求与替代做法禁止行为风险后果正确替代方案擅自关闭实时防护恶意文件写入和执行时不会被拦截，病毒可在后台持久化通过误报申诉、最小化排除项或调整扫描策略处理发现勒索软件后立即关机内存证据丢失，加密进程和网络连接中断，影响溯源先网络隔离，保持开机，保全证据后按预案处置直接删除隔离文件可能破坏业务数据，且无法分析样本和入侵路径先备份隔离文件和日志，再按审批要求清除或留存未经确认从隔离区恢复文件感染文件再次执行，可能造成重复感染从可信备份恢复，或经沙箱分析确认无害后恢复使用个人U盘拷贝病毒样本样本可能通过移动介质扩散使用专用加密介质、密码保护压缩包和隔离分析环境在公共聊天群传播样本或漏洞细节样本被二次执行，漏洞利用方法扩散通过安全工单或加密渠道向授权人员传递八、日志、报表与持续改进日志是判断病毒是否重复感染、策略是否生效和责任是否落实的依据。没有日志留存或日志被覆盖的环境，事件处置只能停留在单机清理，无法完成完整溯源。检查项具体要求频率结果病毒事件日志记录主机名、IP、病毒名称、文件路径、发现时间、处理动作和处理结果实时客户端操作日志记录策略变更、扫描启动、隔离、恢复、卸载等操作实时管理员操作日志记录登录账号、来源IP、操作内容、操作时间和操作结果实时日志保存期限防病毒和管理员操作日志在线保存不少于90天，归档保存不少于180天；关键安全事件相关日志保存不少于3年每月日志备份日志每日备份，备份完整性校验失败应在4小时内告警每月月度报表包括感染数量、事件分级、未安装资产、离线资产、病毒库版本、整改完成率每月8.1核心指标月度安全运维报告应当至少包含以下指标，并与上月数据对比分析：•防病毒客户端安装率：已安装并注册主机数/应纳管主机数，目标为100%。•病毒库及时更新率：病毒库版本在允许期限内的主机数/在线主机数，目标不低于99%。•病毒查杀完成率：按期完成扫描的主机数/计划扫描主机数，目标不低于98%。•高危事件闭环率：按规定时限完成处置和复验的事件数/高危事件总数，目标为100%。•重复感染率：30天内同一主机、同一路径或同一病毒名称再次告警的事件数/病毒事件总数，目标不高于3%。•整改按期完成率：按期完成整改项/全部整改项，目标不低于95%。综合得分可按下列公式计算：S其中S为本次检查得分，Wi为检查项权重，C九、问题整改与复验整改不是“重新安装一次客户端”或“删除告警记录”，而是要消除根因并验证不会再次发生。所有问题必须纳入台账，做到责任人、措施、时限和复验结果明确。问题等级判定示例整改时限复验要求严重关键服务器无防护、实时防护被关闭、勒索软件感染、日志缺失影响溯源4小时内采取临时控制措施，24小时内完成根因修复或形成经审批的加固方案信息安全负责人复验一般病毒库过期、扫描未按期完成、单台终端病毒未清除、策略不一致3个工作日内安全运维主管复验观察命名不规范、台账信息不完整、非关键配置偏差10个工作日内安全运维工程师复核整改措施应当优先采用能够消除根因的方案。例如，终端反复感染U盘病毒时，仅删除病毒文件属于临时措施；同时应禁用自动运行、启用移动介质扫描、开展使用人培训，并对该终端曾接入的其他主机进行检查。复验时应核对配置截图、查杀日志、工单记录和业务验证结果。整改后72小时内再次出现同类告警的，原问题不得关闭，应重新分析传播路径和根因。附件一：杀毒软件日常巡检表序号检查项合格标准检查方法结果备注1控制台运行状态控制台服务、数据库和告警服务正常登录控制台查看服务和告警页面2在线率客户端在线率不低于98%对比在线主机数和应纳管主机数3病毒告警无未处理高危告警；普通告警均有工单按级别筛选近24小时告警4病毒库版本病毒库发布时间不超过7天抽查版本分布报表5实时防护实时防护启用率为100%查看策略合规报表6隔离区隔离文件均有处置结论抽查近24小时隔离记录7离线主机无连续离线超过3个工作日的终端导出台账并核实原因8管理员登录无异常来源和非工作时间登录查看管理员登录日志9通知通道告警邮件、短信或即时通知可达发送测试通知10备份状态控制台配置和日志备份成功查看最近一次备份结果检查人：________复核人：______检查日期：年月__日附件二：病毒查杀登记表序号主机名称IP地址资产责任人主机类型扫描类型病毒库版本发现威胁文件路径处理动作二次扫描结果72小时复查1终端/服务器快速/完整/自定义清除/隔离/删除未发现威胁无同类告警2附件三：病毒