安全设备最尴尬的状态不是没买是买了、通电了、在保、但策略是全通的。我在一次评估里见过这样的现场防火墙有 40 多条策略第一条就是 any-any 全放通WAF 部署成透明模式只记录不拦截一年的日志里存了 37 万次 SQL 注入尝试一次都没拦EDR 装了 80% 的终端但高危策略组是空的堡垒机上了可运维习惯用跳板机直连堡垒机上只有三个人在用。这套设备清单看起来很漂亮等保也能过但实际防护能力接近于零。这篇给一份体检清单七类设备各查哪三件事、查到什么算合格、不合格怎么改。你可以拿着它一个下午把自家设备过一遍。检查项都是具体的能落到界面上的某个位置或某条命令。主机侧的基线核查不在这篇范围内那个看 安全基线落不了地。一、体检表七类设备每类三查先看总表后面逐类展开。设备查什么合格标准防火墙有无 any-any 策略、策略命中率、规则数量无全通策略零命中规则 10%规则 200 条WAF工作模式、拦截率、误拦率拦截模式拦截动作占比 0误拦 0.1%EDR覆盖率、策略组、隔离能力服务器覆盖率 100%策略组非空能一键隔离IDS/IPS部署位置、告警量、规则更新双向部署日均有效告警 100规则周更堡垒机覆盖率、绕行检测、录屏留存运维流量 100% 过堡垒机无直连留存 180 天日志/SIEM采集源数量、保留期、可用性覆盖关键系统≥90 天查询响应 10 秒全部台账、固件版本、配置备份有台账固件无已知高危有备份且可恢复七类里最容易不合格的是防火墙全通策略和堡垒机绕行这两项也是最容易被攻击利用的。二、防火墙策略先看第一条是不是全通防火墙的问题九成出在同一处为了先让业务通加了一条 any-any 放在最前面然后就再也没动过。原因很好理解——新系统上线业务说连不上运维图快加一条全通业务通了问题解决了。这条策略从此躺在第一条后面新增的所有精细化策略都变成摆设。查三件事第一有没有全通策略。按顺序看策略列表的前 10 条找源/目的为 any、服务为 any 的。有的话先别急着删做一件事把这条策略的命中日志导出来看过去一周它实际放通了哪些流量。这些流量就是真实需要按它们生成精确策略然后再删全通。这个顺序很重要。直接删全通业务立刻中断先看命中再生成策略能做到不断服。第二零命中规则占比。很多防火墙有几百条规则其中一半是历史遗留、早已无人使用。这些规则不产生风险但会让人无法判断策略全貌也让临时开通永远没人回收。查法看每条规则的命中计数大部分防火墙在策略列表里就有这一列。连续 90 天零命中的规则标记为待清理走变更流程删掉。第三规则数量与收敛度。超过 300 条规则的防火墙基本已经没人能说清每条为什么存在。这时候应该做一次策略重构——按业务域分组、用地址簿代替散落的 IP、用策略组代替重复条目。重构的目标不是规则少是任何一条规则都能说出为什么。有个实用技巧给策略加申请单号和到期日两个字段多数防火墙的备注字段够用到期自动提醒。这一条能让临时开通不再变成永久。三、WAF透明模式等于没装WAF 部署成透明/旁路模式只做日志是甲方最普遍的自欺欺人。它满足了我们有 WAF这个合规要求但对攻击零拦截。为什么大家不敢开拦截模式因为怕误拦业务。这个担心是合理的但解法不是不拦是分阶段阶段时长动作判断标准观察2 周只记录统计将被拦截的请求逐条看被拦的请求标记误报灰度2~4 周只对非核心业务开拦截业务无投诉误拦率 0.1%全量持续核心业务也开拦截保留一键回滚开关关键是一键回滚这个能力必须先验证可用。如果开了拦截发现业务挂了、却不知道怎么快速关掉那谁也不敢开。开之前先演练一次模拟误拦、走一遍回滚流程、记录耗时。误报治理的三个动作和 DevSecOps 里的思路一样一是把常见业务的正常请求加白名单比如后台富文本编辑器的提交二是关掉不适用的规则集很多 WAF 默认开了几千条规则其中大半和你的业务无关三是定期看拦截 Top 规则如果某条规则拦的全是误报直接关掉。还有一件事常被忽略WAF 要放在所有入口前面。有企业主站走 WAF但新上的小程序 API 直连后端绕过了 WAF——攻击者只需要找到这个入口。四、EDR不是装了就行EDR 的价值全在策略和响应能力上。装了就完事的 EDR和一个杀毒软件没区别。查三件事第一服务器覆盖率。很多企业 EDR 只覆盖了办公终端服务器一台没装——而服务器才是攻击者的目标。查法拿资产台账里的服务器清单和 EDR 控制台的在线终端列表做差集。差集里的机器分两种一种是装不上老系统、不支持的操作系统这类要用其他手段兜底主机防火墙 日志采集另一种是没人管的机器——这才是最危险的因为它既没有检测也没有人维护。第二策略组是不是空的。打开策略管理看有没有启用了实际规则。见过不少现场是策略组已创建但里面一条规则都没启用因为实施时只做了安装没做策略配置。至少要启用这几类可疑进程启动、凭据窃取行为、横向移动工具、勒索行为特征、异常外联。这些是默认规则集里就有的启用即可不需要自己写。第三能不能一键隔离。这个能力决定了出事时的处置速度。测试方法找一台测试机从控制台点隔离看是否在 30 秒内断开网络且不影响管理通道。做不到的话出事时你只能跑机房拔网线。五、IDS/IPS从告警洪水到有效告警IDS 的典型状态是开着但没人看。因为日均几十万条告警看了也没用。治理思路是先降噪再谈检测。三步第一步关掉不适用于你的规则集。默认规则集里有大量针对老旧系统Windows 2003、IIS 6的攻击特征你的环境里没有这些系统这些规则只会产生噪音。第二步把告警按是否成功分级。大部分 IPS 能区分检测到攻击尝试和攻击成功前者数量大但价值低后者才是要立刻处理的。第三步只为高价值目标保留全量检测。核心业务区全开办公区只保留高危类别。做完这三步日均有效告警通常能从几万降到几十。这个量级才可能有人真的去看。六、堡垒机查绕行比查功能重要堡垒机的价值只有一个所有运维操作都经过它并留下记录。所以核心指标不是功能有多少是覆盖率和有没有绕行。查绕行的方法从网络侧看运维网段到服务器网段的流量是不是只允许到堡垒机。如果运维人员能直接从自己电脑 SSH 到服务器堡垒机就形同虚设。具体检查# 从一台运维终端上试直接连服务器应该不通连堡垒机应该通 ssh -o ConnectTimeout3 user10.20.1.31 # 目标服务器应超时/拒绝 ssh -o ConnectTimeout3 user10.10.5.20 # 堡垒机应能登录 # 在服务器侧看当前登录来源是不是只有堡垒机 IP who | awk {print $5} | tr -d () | sort -u # 或 ss -tn state established ( sport :22 ) | awk {print $5}如果服务器的 SSH 来源里出现了运维人员的办公 IP就是绕行。解决办法是网络层收敛运维网段到服务器网段只放通堡垒机 IP。这个改动会有阻力我这样操作快但它是堡垒机有没有意义的分界线。做之前先跟运维负责人对齐别让安全团队单独去封。另外两个检查项录屏留存够不够等保要求 6 个月实际建议 180 天以上、账号是不是一人一号共享账号等于没有审计。七、日志与 SIEM能查到才算有日志这块的常见误区是采了很多但查不到想查的。三个检查项第一关键系统的日志有没有进来。列一份出事时一定要查的日志清单逐条核对是否已接入认证日志AD/VPN/堡垒机、主机安全日志EDR/auditd、网络日志防火墙/WAF/DNS、应用日志网关 access、数据日志数据库审计/对象存储。缺哪一类就是哪一类事件查不清。第二保留期够不够。90 天是底线。数据泄露类事件往往在两三个月后才被发现日志只留 30 天等于没有。成本上用冷热分层近 30 天热存储可查30~180 天冷存储超过 180 天归档。第三查询能不能在 10 秒内出结果。这一条很实际如果查一次要等 5 分钟没人会用最后所有人还是去登服务器 grep。查询慢通常是索引设计问题需要和实施方一起调。8.1 变更流程策略为什么会越加越乱前面说的全通策略、零命中规则都不是某个人失误造成的是变更流程缺两个环节申请时要写清为什么下线时没人负责。正常的变更单通常只写源地址、目的地址、端口这三样足够开通但不足以维护。要再加三列字段用途不加的后果申请单号/工单链接追溯这条策略为谁开的半年后没人知道来源到期日临时策略到期自动提醒临时变永久对应业务按业务域做策略分组无法批量清理有这三列防火墙的策略列表就从一堆规则变成一份可维护的清单。清理时按业务已下线或已到期筛一次能清掉几十条。还有一个组织上的动作比流程更有效每季度做一次策略评审让运维和业务一起看。评审只问一个问题这条策略现在还有业务在用吗没人能答上来的就进待删清单。这个会通常只要一小时但它能把策略堆积这件事变成周期性动作而不是等到出事才想起来。八、设备台账与变更安全设备运营的地基上面七类查完你会发现一个共同点所有问题的根源都是没人管。而没人管的具体表现是没有台账、没有变更记录、没有责任人。设备台账的字段不多但必须有这几列字段为什么必须有设备名与型号判断固件漏洞的前提管理 IP 与带外地址出事时能连上去固件/系统版本对应已知漏洞策略备份路径与最近备份时间设备坏了能恢复管理员账号不含口令知道谁能改维保到期日到期前要评估续费或替换责任人出问题找谁配置备份这一项最容易被忽略代价也最大。防火墙坏了要重建几百条策略没有备份就是几天的事故。做法很简单每周自动备份到内网文件服务器保留最近 12 份且每季度做一次从备份恢复的演练——没演练过的备份不算备份。固件版本这一列配合厂商的安全公告能提前发现我们有一台设备在受影响版本里。这一步不需要工具订阅厂商公告 每月核对一次就够。九、安全设备运营的五个指标设备运营要能证明有效五个数就够都不难算指标算法参考目标策略收敛度有效策略数 / 总策略数90%WAF 拦截率拦截动作数 / 总命中数0 且逐季上升安全设备在线率在线时长 / 应在线时长≥99%日志覆盖率已接入的关键系统 / 关键系统总数100%平均处置时长从告警产生到处置完成高危 ≤30 分钟第一个指标策略收敛度最能反映运营水平。它低说明规则在堆积没人清理它接近 100% 说明有人在持续维护。这五个数都不需要额外买工具从设备控制台和现有台账就能算出来。建议每月出一张表和上个月对比——趋势比绝对值重要因为设备运营是长期活一次达标不代表下个月还达标。十、中小团队的精简版三个人以下的团队上面全做不现实。按优先级砍到四件事防火墙删全通策略一周内能做完风险最高WAF 从透明转拦截分阶段两个月堡垒机堵绕行一次网络变更每周备份设备配置脚本自动化这四件做完你的设备从合规摆件变成真的在工作。剩下的等有精力再补。设备运营这件事没有终点也不需要一次做完。关键是每年都比上一年少一条全通策略、少一台没人管的老设备。 
长河君 · 2026/10/29 1:37:26 · 阅读 1.2k 安全设备运营怎么查？七类设备体检清单 + 该配成什么样
安全设备最尴尬的状态不是没买是买了、通电了、在保、但策略是全通的。我在一次评估里见过这样的现场防火墙有 40 多条策略第一条就是 any-any 全放通WAF 部署成透明模式只记录不拦截一年的日志里存了 37 万次 SQL 注入尝试一次都没拦EDR 装了 80% 的终端但高危策略组是空的堡垒机上了可运维习惯用跳板机直连堡垒机上只有三个人在用。这套设备清单看起来很漂亮等保也能过但实际防护能力接近于零。这篇给一份体检清单七类设备各查哪三件事、查到什么算合格、不合格怎么改。你可以拿着它一个下午把自家设备过一遍。检查项都是具体的能落到界面上的某个位置或某条命令。主机侧的基线核查不在这篇范围内那个看 安全基线落不了地。一、体检表七类设备每类三查先看总表后面逐类展开。设备查什么合格标准防火墙有无 any-any 策略、策略命中率、规则数量无全通策略零命中规则 10%规则 200 条WAF工作模式、拦截率、误拦率拦截模式拦截动作占比 0误拦 0.1%EDR覆盖率、策略组、隔离能力服务器覆盖率 100%策略组非空能一键隔离IDS/IPS部署位置、告警量、规则更新双向部署日均有效告警 100规则周更堡垒机覆盖率、绕行检测、录屏留存运维流量 100% 过堡垒机无直连留存 180 天日志/SIEM采集源数量、保留期、可用性覆盖关键系统≥90 天查询响应 10 秒全部台账、固件版本、配置备份有台账固件无已知高危有备份且可恢复七类里最容易不合格的是防火墙全通策略和堡垒机绕行这两项也是最容易被攻击利用的。二、防火墙策略先看第一条是不是全通防火墙的问题九成出在同一处为了先让业务通加了一条 any-any 放在最前面然后就再也没动过。原因很好理解——新系统上线业务说连不上运维图快加一条全通业务通了问题解决了。这条策略从此躺在第一条后面新增的所有精细化策略都变成摆设。查三件事第一有没有全通策略。按顺序看策略列表的前 10 条找源/目的为 any、服务为 any 的。有的话先别急着删做一件事把这条策略的命中日志导出来看过去一周它实际放通了哪些流量。这些流量就是真实需要按它们生成精确策略然后再删全通。这个顺序很重要。直接删全通业务立刻中断先看命中再生成策略能做到不断服。第二零命中规则占比。很多防火墙有几百条规则其中一半是历史遗留、早已无人使用。这些规则不产生风险但会让人无法判断策略全貌也让临时开通永远没人回收。查法看每条规则的命中计数大部分防火墙在策略列表里就有这一列。连续 90 天零命中的规则标记为待清理走变更流程删掉。第三规则数量与收敛度。超过 300 条规则的防火墙基本已经没人能说清每条为什么存在。这时候应该做一次策略重构——按业务域分组、用地址簿代替散落的 IP、用策略组代替重复条目。重构的目标不是规则少是任何一条规则都能说出为什么。有个实用技巧给策略加申请单号和到期日两个字段多数防火墙的备注字段够用到期自动提醒。这一条能让临时开通不再变成永久。三、WAF透明模式等于没装WAF 部署成透明/旁路模式只做日志是甲方最普遍的自欺欺人。它满足了我们有 WAF这个合规要求但对攻击零拦截。为什么大家不敢开拦截模式因为怕误拦业务。这个担心是合理的但解法不是不拦是分阶段阶段时长动作判断标准观察2 周只记录统计将被拦截的请求逐条看被拦的请求标记误报灰度2~4 周只对非核心业务开拦截业务无投诉误拦率 0.1%全量持续核心业务也开拦截保留一键回滚开关关键是一键回滚这个能力必须先验证可用。如果开了拦截发现业务挂了、却不知道怎么快速关掉那谁也不敢开。开之前先演练一次模拟误拦、走一遍回滚流程、记录耗时。误报治理的三个动作和 DevSecOps 里的思路一样一是把常见业务的正常请求加白名单比如后台富文本编辑器的提交二是关掉不适用的规则集很多 WAF 默认开了几千条规则其中大半和你的业务无关三是定期看拦截 Top 规则如果某条规则拦的全是误报直接关掉。还有一件事常被忽略WAF 要放在所有入口前面。有企业主站走 WAF但新上的小程序 API 直连后端绕过了 WAF——攻击者只需要找到这个入口。四、EDR不是装了就行EDR 的价值全在策略和响应能力上。装了就完事的 EDR和一个杀毒软件没区别。查三件事第一服务器覆盖率。很多企业 EDR 只覆盖了办公终端服务器一台没装——而服务器才是攻击者的目标。查法拿资产台账里的服务器清单和 EDR 控制台的在线终端列表做差集。差集里的机器分两种一种是装不上老系统、不支持的操作系统这类要用其他手段兜底主机防火墙 日志采集另一种是没人管的机器——这才是最危险的因为它既没有检测也没有人维护。第二策略组是不是空的。打开策略管理看有没有启用了实际规则。见过不少现场是策略组已创建但里面一条规则都没启用因为实施时只做了安装没做策略配置。至少要启用这几类可疑进程启动、凭据窃取行为、横向移动工具、勒索行为特征、异常外联。这些是默认规则集里就有的启用即可不需要自己写。第三能不能一键隔离。这个能力决定了出事时的处置速度。测试方法找一台测试机从控制台点隔离看是否在 30 秒内断开网络且不影响管理通道。做不到的话出事时你只能跑机房拔网线。五、IDS/IPS从告警洪水到有效告警IDS 的典型状态是开着但没人看。因为日均几十万条告警看了也没用。治理思路是先降噪再谈检测。三步第一步关掉不适用于你的规则集。默认规则集里有大量针对老旧系统Windows 2003、IIS 6的攻击特征你的环境里没有这些系统这些规则只会产生噪音。第二步把告警按是否成功分级。大部分 IPS 能区分检测到攻击尝试和攻击成功前者数量大但价值低后者才是要立刻处理的。第三步只为高价值目标保留全量检测。核心业务区全开办公区只保留高危类别。做完这三步日均有效告警通常能从几万降到几十。这个量级才可能有人真的去看。六、堡垒机查绕行比查功能重要堡垒机的价值只有一个所有运维操作都经过它并留下记录。所以核心指标不是功能有多少是覆盖率和有没有绕行。查绕行的方法从网络侧看运维网段到服务器网段的流量是不是只允许到堡垒机。如果运维人员能直接从自己电脑 SSH 到服务器堡垒机就形同虚设。具体检查# 从一台运维终端上试直接连服务器应该不通连堡垒机应该通 ssh -o ConnectTimeout3 user10.20.1.31 # 目标服务器应超时/拒绝 ssh -o ConnectTimeout3 user10.10.5.20 # 堡垒机应能登录 # 在服务器侧看当前登录来源是不是只有堡垒机 IP who | awk {print $5} | tr -d () | sort -u # 或 ss -tn state established ( sport :22 ) | awk {print $5}如果服务器的 SSH 来源里出现了运维人员的办公 IP就是绕行。解决办法是网络层收敛运维网段到服务器网段只放通堡垒机 IP。这个改动会有阻力我这样操作快但它是堡垒机有没有意义的分界线。做之前先跟运维负责人对齐别让安全团队单独去封。另外两个检查项录屏留存够不够等保要求 6 个月实际建议 180 天以上、账号是不是一人一号共享账号等于没有审计。七、日志与 SIEM能查到才算有日志这块的常见误区是采了很多但查不到想查的。三个检查项第一关键系统的日志有没有进来。列一份出事时一定要查的日志清单逐条核对是否已接入认证日志AD/VPN/堡垒机、主机安全日志EDR/auditd、网络日志防火墙/WAF/DNS、应用日志网关 access、数据日志数据库审计/对象存储。缺哪一类就是哪一类事件查不清。第二保留期够不够。90 天是底线。数据泄露类事件往往在两三个月后才被发现日志只留 30 天等于没有。成本上用冷热分层近 30 天热存储可查30~180 天冷存储超过 180 天归档。第三查询能不能在 10 秒内出结果。这一条很实际如果查一次要等 5 分钟没人会用最后所有人还是去登服务器 grep。查询慢通常是索引设计问题需要和实施方一起调。8.1 变更流程策略为什么会越加越乱前面说的全通策略、零命中规则都不是某个人失误造成的是变更流程缺两个环节申请时要写清为什么下线时没人负责。正常的变更单通常只写源地址、目的地址、端口这三样足够开通但不足以维护。要再加三列字段用途不加的后果申请单号/工单链接追溯这条策略为谁开的半年后没人知道来源到期日临时策略到期自动提醒临时变永久对应业务按业务域做策略分组无法批量清理有这三列防火墙的策略列表就从一堆规则变成一份可维护的清单。清理时按业务已下线或已到期筛一次能清掉几十条。还有一个组织上的动作比流程更有效每季度做一次策略评审让运维和业务一起看。评审只问一个问题这条策略现在还有业务在用吗没人能答上来的就进待删清单。这个会通常只要一小时但它能把策略堆积这件事变成周期性动作而不是等到出事才想起来。八、设备台账与变更安全设备运营的地基上面七类查完你会发现一个共同点所有问题的根源都是没人管。而没人管的具体表现是没有台账、没有变更记录、没有责任人。设备台账的字段不多但必须有这几列字段为什么必须有设备名与型号判断固件漏洞的前提管理 IP 与带外地址出事时能连上去固件/系统版本对应已知漏洞策略备份路径与最近备份时间设备坏了能恢复管理员账号不含口令知道谁能改维保到期日到期前要评估续费或替换责任人出问题找谁配置备份这一项最容易被忽略代价也最大。防火墙坏了要重建几百条策略没有备份就是几天的事故。做法很简单每周自动备份到内网文件服务器保留最近 12 份且每季度做一次从备份恢复的演练——没演练过的备份不算备份。固件版本这一列配合厂商的安全公告能提前发现我们有一台设备在受影响版本里。这一步不需要工具订阅厂商公告 每月核对一次就够。九、安全设备运营的五个指标设备运营要能证明有效五个数就够都不难算指标算法参考目标策略收敛度有效策略数 / 总策略数90%WAF 拦截率拦截动作数 / 总命中数0 且逐季上升安全设备在线率在线时长 / 应在线时长≥99%日志覆盖率已接入的关键系统 / 关键系统总数100%平均处置时长从告警产生到处置完成高危 ≤30 分钟第一个指标策略收敛度最能反映运营水平。它低说明规则在堆积没人清理它接近 100% 说明有人在持续维护。这五个数都不需要额外买工具从设备控制台和现有台账就能算出来。建议每月出一张表和上个月对比——趋势比绝对值重要因为设备运营是长期活一次达标不代表下个月还达标。十、中小团队的精简版三个人以下的团队上面全做不现实。按优先级砍到四件事防火墙删全通策略一周内能做完风险最高WAF 从透明转拦截分阶段两个月堡垒机堵绕行一次网络变更每周备份设备配置脚本自动化这四件做完你的设备从合规摆件变成真的在工作。剩下的等有精力再补。设备运营这件事没有终点也不需要一次做完。关键是每年都比上一年少一条全通策略、少一台没人管的老设备。