安全观瞻 | 安全配置别停在验收那一刻

年终内部安全复盘，团队重新找出设备台账和历史部署文档，准备逐项核对现场情况。检查过程中，大家聊到某台操作站开放的接口，以及仍在生效的远程运维权限，不同运维人员掌握的情况却存在出入。

这台操作站并非没有安全防护，项目验收阶段的配置和记录也都完整留存。只是设备长期运行之后，经历了多次检修、调试和系统调整，纸面记录与设备当前状态之间，逐渐出现了偏差…

Part 01

基线为什么会慢慢失效

这里所说的“基线”，可以理解为经过确认的安全配置要求和允许范围。比如，哪些接口可以开放，哪些账号可以拥有远程权限，哪些访问策略需要保持启用，以及外设接入应当满足什么条件。

基线形成之后，现场仍然会持续变化。调试、抢修、版本升级和网络调整，都可能带来策略、权限或接口状态的变化。临时账号、访问权限和安全策略，也可能因检修或故障排查被临时调整。

这些操作通常都有明确的业务原因，问题更多出现在后续环节：临时权限是否按时回收，接口状态是否恢复，变更记录是否补齐，相关台账是否同步更新。

人员交接也会增加管理难度。如果缺少完整记录，后续接手人员很难还原某个接口为何开放、某个账号为何保留，以及某条策略为何被调整。

单次操作看起来影响有限，多个变化叠加起来，现场配置就可能逐渐偏离原有基线，也可能与当前业务需求不再匹配。人员交接和记录不完整，又会增加后续追溯的难度。

Part 02

核查要看当前状态

安全配置核查的工作起点，是先把现场当前的配置状态找出来。

很多工业现场已经部署了USB管控、运维审计、访问控制等安全能力。相关系统通常能够记录自身的登录、操作、策略变更和告警情况，这些记录是核查的重要依据。不过，单台设备能够说明自身发生过什么，并不一定能够直接说明整个工控环境现在是否符合要求。

例如，一台设备上的访问策略完成了调整，关联网络设备上的配套规则却没有同步更新。单看其中任意一台设备的配置，都可能发现不了这处差异。

因此，核查需要结合具体业务场景，先把以下几项情况查清楚：

• 当前有哪些接口和外设通道处于开放状态？
• 哪些账号仍然拥有远程或高权限？
• 哪些访问控制和安全策略正在生效？
• 近期发生过哪些重要配置变化？

这些信息，是后续与项目设计、管理制度和安全基线进行比对的基础。

Part 03

对照基线，找出差异

获得现场配置之后，需要将其与项目设计、管理制度、已确认的安全基线以及当前业务需求进行比对，识别开放范围过大、权限保留时间过长、策略未同步或记录不完整等差异。

某项设置可能符合过去的业务安排，但随着系统架构或生产流程调整，已经不再需要继续保留。新的业务需求，也可能带来新的接口、访问关系或权限管理要求，需要对原有配置规则进行补充。

当业务架构、设备范围或适用的安全要求发生变化时，企业可以结合实际影响评估原有基线是否仍然适用，并在完成相应评审和确认后更新基线版本。这样，后续核查才有明确、有效的参照，也能避免继续沿用已经不符合现状的配置要求。

核查发现差异后，还需要追溯变化的由来，理清配置改动的时间和操作人，确认改动是否经过授权，变更后有没有复核。把当前状态、参照要求和变化过程联系起来，企业才能区分正常调整、临时措施遗留和需要进一步整改的问题。

Part 04

哪些变化后需要复核

配置核查不必每次都从头到尾全量开展，更适合根据变化范围确定核查内容。

设备或网络发生升级、替换和改造时，重点检查相关系统参数、访问策略和安全配置。人员、服务单位或运维任务发生变化后，则重点确认账号、权限、临时设置和相关记录是否完成收尾。

核查的目的，是确认变更结果符合预期，临时措施已经结束，避免一次业务操作留下未被发现的配置问题。

如果变化范围较小，可以进行定向核验；如果涉及网络架构、核心设备或多项安全策略，则需要扩大核查范围。根据变更确定核查深度，比固定采用一种检查方式更符合实际运维情况。

Part 05

把核查做成日常工作

依靠人工逐台查看配置，工作量较大，也容易受到人员经验、记录完整性和设备数量的影响。复盘或变更完成后，如果还要从多个系统中分别查找信息，再手工整理和比对，核查工作往往很难长期坚持。

要让配置核查成为日常运维的一部分，除了明确核查范围和判断标准，也需要借助工具完成信息采集和差异整理。安全配置核查工具可以在纳入范围的主机、网络设备等对象中采集配置信息，按照预设基线完成比对，并集中呈现差异项。运维人员可以据此定位需要关注的设备、账号、接口和策略，把精力放在差异判断和后续处理上。

齐安科技安全配置核查工具，可以帮助企业将原本分散开展、依赖人工整理的配置核查，融入日常运维和变更管理，持续掌握现场配置状态，及时发现配置与既定要求之间的差异。