| 加固项 | 变更回滚 |
|---|---|
| 适用平台 | 全部平台 |
| 风险等级 | 中 |
| 基线 | 回滚方案随变更单 |
回滚方案要素
回滚方案要素
# 触发条件：什么现象判为失败（明确、可观测）
# 回滚步骤：命令级步骤 + 预计耗时
# 数据影响：是否涉及不可逆变更（数据库/存储）
# 验证：回滚后如何确认恢复
rpm -q --last kernel | head -3 # 内核回退要确认旧内核仍在已知问题清单（如某 KB 与某软件冲突）比通用流程更能救火：每月更新并同步给值班团队。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条口令与认证策略55 条服务与端口收敛50 条
补丁与漏洞管理50 条
- Log4Shell（log4j-core）排查与处置
- RHEL 系安全更新（yum security）
- CVE 应急评估四步法
- Debian/Ubuntu 待升级与安全源核查
- 发行版生命周期（EOL）核查
- 待装更新与重启需求盘点
- polkit pkexec 提权自查（PwnKit）
- 紧急漏洞（0day/在野利用）处置流程
- 自动安全更新（unattended-upgrades）
- 内核更新与重启生效验证
- 内核漏洞自查（版本与公告对照）
- glibc 版本自查（Looney Tunables 类）
- 软件仓库来源与 GPG 校验
- 系统文件完整性核验（rpm -V / debsums）
- 组件版本清点与 CVE 对照方法
- sudo 版本自查（Baron Samedit 类）
- Windows 补丁清单核查（Get-HotFix）
- 数据库/中间件补丁的专项流程
- dnf updateinfo 安全公告过滤
- 补丁窗口与灰度发布纪律
- Apache Struts2 组件排查（OGNL 类漏洞）
- Windows 更新源与 WSUS 核查
- 容器镜像更新与基线复核
- bash Shellshock 类漏洞自查
- OpenSSH 版本自查与缓解
- Java 应用依赖清点（jar 清单）
- 漏洞修复验证（版本+功能+复测）
- 月度补丁评估（补丁星期二节奏）
- 补丁后验证清单（服务/业务/日志）
- 内网镜像源与断网环境更新
- 第三方应用与自带组件补丁
- OpenSSL 版本与 Heartbleed 类自查
- CVE 评估表模板（资产×版本×暴露×结论）
- 漏洞扫描工具选型与使用边界
- 补丁前快照与备份准备
- 回滚方案与已知问题清单
- 更新历史审计（yum history / dpkg.log）
- Apache HTTPD 版本与模块核查
- Nginx 版本与配置核查
- 组件清单（SBOM）与依赖台账
- Windows 第三方软件补丁管理
- 包版本锁定与排除（versionlock/apt-mark）
- 云安全中心/主机防护 agent 落地
- Windows 更新故障排查（缓存与组件）
- 固件/BIOS/BMC 补丁管理
- 带凭据扫描与基线合规扫描
- 漏洞报告处置 SLA 与复盘
- 补丁合规报表与敞口统计
- 扫描误报的复核与豁免流程
- 补丁管理指标（MTTP 与合规率）
回滚方案与已知问题清单
每个补丁变更单必须回答：失败如何回滚、回滚需要多久、数据是否可回退；同时维护“已知问题”清单管理例外。
易错点
- 回滚方案没演练过：真到用时才发现步骤缺失或耗时超预期
- 文件级回滚忽略数据库/外部系统状态：部分回滚比不回滚更危险
数据来源与参考
- ITIL 变更管理
- Microsoft：已知问题回滚（KIR）实践