这一类问题在说什么
默认账号与共享账号指设备或系统保留了出厂账号（如 admin、vendor、root 等）且口令未改，或者多人共用同一个管理员账号。前者违背账号唯一性与口令管理要求，后者让审计记录无法定位到人，属于身份鉴别与访问控制条款的高频不符合项。
排查与整改
排查与整改
# 三步走
1 排查：梳理各设备与系统的账号清单，标记出厂默认账号与共享账号
2 整改：停用或删除默认账号；一人一号；确需代管的走授权流程并留记录
3 验证：登录界面与账号清单核对，检查审计日志能否区分到具体人Linux 账号盘点与状态核查
Linux 账号盘点与状态核查
# 列出可登录的普通账号
awk -F: '$3>=1000 && $7 !~ /nologin|false/ {print $1}' /etc/passwd
# 查看各账号末次登录时间（Never logged in 表示从未登录）
lastlog
# 核对账号状态：L 锁定 / P 可用 / NP 无口令
passwd -S ops01
# 查看具备登录 shell 的系统账号（重点关注异常项）
awk -F: '$3<1000 && $7 !~ /nologin|false/ {print $1}' /etc/passwd常见整改做法
- 出厂账号停用或删除，确需保留的改名并改口令、限制来源
- 管理员一人一号，权限按角色分配，避免共用
- 特权操作走提权机制，普通账号不直接拥有高权
- 账号清单与责任人对应，离职与转岗时同步回收
- 审计日志核对能否区分到人，共享账号整改后要能追溯
设备侧的默认账号不止一个：除了管理员，还可能有厂商维护账号、只读账号与监控账号，排查时要按设备型号逐类确认，而不是只看第一个。
把默认账号改名保留是常见做法，但如果口令仍是出厂值或弱口令，风险没有任何降低，检查时同样会被认定不符合。
网络设备与安全设备是默认账号重灾区：不同型号的出厂账号与默认口令各不相同，建议按型号建立一页式的设备账号对照表，上线与年检时逐台核对。
共享账号的替代方案
- 为每个运维人员建立独立账号并按角色授权
- 特权操作通过提权机制执行，保留真实操作人记录
- 必须共用的系统账号限用在特定终端并开启全程录屏
- 定期复核共用账号的使用记录，异常操作可追溯到时间段与人