恢复上线的加固顺序
顺序是：先补丁与基线，再改凭据与网络限制，最后做业务验证与安全复扫。顺序颠倒会让系统在修复期间继续处于暴露状态，等于把风险窗口延长。
最后一步是核对攻击面
上线前的最后一个动作是核对监听端口与服务清单：与业务白名单逐项比对，多余端口就是多余攻击面，恢复上线时最容易被忽略的正是这一项。
基本信息
| 第一步 | 从可信介质补齐安全更新与基线配置 |
|---|---|
| 第二步 | 重置系统、数据库与应用账号凭据 |
| 第三步 | 收敛网络暴露：最小端口开放、限制管理来源 |
| 第四步 | 业务回归测试与安全复扫 |
| 记录要求 | 每步的时间与结果写入事件报告 |
| 常见遗漏 | 中间件与运行时同样需要更新 |
典型使用场景
- 清理或重装完成后的恢复流程
- 上线前的安全基线核查
- 凭据与服务配置的批量更新
- 向管理层说明恢复完成的标准
- 复盘时说明加固定措施与遗留风险
核对攻击面与补丁
核对攻击面与补丁
ss -lntp | head -n 30
systemctl list-units --type=service --state=running | head -n 30
apt-get update && apt-get -y upgrade
passwd -S root; last -ai | head -n 10
firewall-cmd --list-all 2>/dev/null | head -n 20输出逐列读法
| 检查项 | 含义 | 正常/异常 |
|---|---|---|
| 监听端口 | 对外暴露的服务 | 与业务白名单逐项核对 |
| 运行服务 | 正在运行的系统服务 | 未列入白名单的应评估能否关闭 |
| 补丁状态 | 更新是否已安装 | 未更新说明加固尚未完成 |
| 防火墙规则 | 放行范围 | 管理端口应限定来源网段 |
上线前核对监听端口与服务白名单：多余端口就是多余攻击面，也是复扫中最常见的残留项。
只打系统补丁不够：应用中间件、运行时与第三方组件也要更新，攻击者往往正是从这些组件的已知漏洞进入。
恢复上线的检查项
- 补丁与安全基线已完成
- 凭据全部重置且旧凭据失效
- 监听端口与服务符合白名单
- 业务功能回归测试通过
- 安全复扫无高危项
- 观察期内持续监控并保留记录