恢复上线核查清单是什么
服务恢复上线不能只看「页面能打开」：自启、监听端口、域名解析与证书、备份与监控、审计与防病毒、日志采集都要逐项核对并记录时间。清单的价值在于把「感觉恢复了」变成「有依据地确认恢复了」——漏掉的项往往在观察期里变成新问题。
基本信息
| 基础项 | 服务自启、监听端口、域名解析、证书有效期 |
|---|---|
| 任务项 | 备份任务、监控告警、日志采集是否恢复 |
| 安全项 | 防病毒或 EDR 与审计策略已启用 |
| 验证方式 | 功能回归测试 + 安全复扫 |
| 记录要求 | 每项核对时间与执行人 |
| 执行顺序 | 先确认安全基线，再对外放流量 |
典型使用场景
- 清除木马后把服务重新对外提供之前
- 主机重装或从备份恢复之后
- 迁移到新环境后确认配置完整性
- 演练中检验恢复流程是否缺项
- 观察期开始前的基线确认
- 多节点服务逐个恢复上线时保持口径一致
核对运行与任务状态
核对运行与任务状态
systemctl list-units --type=service --state=failed | head -n 20 # 有无失败单元
systemctl is-enabled nginx sshd 2>/dev/null # 关键服务是否自启
ss -lntp | head -n 30 # 监听端口是否符合预期
crontab -l 2>/dev/null | head -n 20 # 计划任务是否还在
systemctl list-timers --no-pager | head -n 10 # 定时器是否恢复
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -dates # 证书有效期核查项与通过标准
| 核查项 | 命令或位置 | 通过标准 |
|---|---|---|
| 服务自启 | systemctl is-enabled | 关键服务均为 enabled |
| 监听端口 | ss -lntp | 与预期清单一致，无多余监听 |
| 备份任务 | crontab -l / list-timers | 任务存在且最近成功执行 |
| 监控与日志 | 采集 agent 状态 | 数据在平台上可见 |
| 安全组件 | 杀软与审计状态 | 已启用且策略为预期值 |
每一项都要记录核对时间与执行人：清单的目的是留下可追溯的确认过程，而不是打勾了事。
发现失败单元或多余监听端口时先不要对外放流量：恢复期放量会把问题直接暴露到用户侧，先修好再开。
清单要在平时就写好并演练过：事件现场临时想检查项，最容易漏掉的就是备份、监控与日志采集这三类「不出声」的组件。