| 加固项 | 补丁节奏 |
|---|---|
| 适用平台 | Windows（企业） |
| 风险等级 | 中 |
| 基线 | 月度评估与滚动安装 |
节奏清单
节奏清单
# 周二晚：阅读 MSRC 公告，标注“在野利用/严重级”
# 周三：测试环境安装与回归
# 周四/周五：灰度 10% 生产
# 次周：全量；域控/数据库排最后并单独窗口
# 记录：KB 清单、安装率、重启完成率带外（out-of-band）紧急公告不占月度窗口：按应急流程走，别等到下个月。
本包目录（363 条）
主机加固基线90 条防火墙与访问控制50 条口令与认证策略55 条服务与端口收敛50 条
补丁与漏洞管理50 条
- Log4Shell（log4j-core）排查与处置
- RHEL 系安全更新（yum security）
- CVE 应急评估四步法
- Debian/Ubuntu 待升级与安全源核查
- 发行版生命周期（EOL）核查
- 待装更新与重启需求盘点
- polkit pkexec 提权自查（PwnKit）
- 紧急漏洞（0day/在野利用）处置流程
- 自动安全更新（unattended-upgrades）
- 内核更新与重启生效验证
- 内核漏洞自查（版本与公告对照）
- glibc 版本自查（Looney Tunables 类）
- 软件仓库来源与 GPG 校验
- 系统文件完整性核验（rpm -V / debsums）
- 组件版本清点与 CVE 对照方法
- sudo 版本自查（Baron Samedit 类）
- Windows 补丁清单核查（Get-HotFix）
- 数据库/中间件补丁的专项流程
- dnf updateinfo 安全公告过滤
- 补丁窗口与灰度发布纪律
- Apache Struts2 组件排查（OGNL 类漏洞）
- Windows 更新源与 WSUS 核查
- 容器镜像更新与基线复核
- bash Shellshock 类漏洞自查
- OpenSSH 版本自查与缓解
- Java 应用依赖清点（jar 清单）
- 漏洞修复验证（版本+功能+复测）
- 月度补丁评估（补丁星期二节奏）
- 补丁后验证清单（服务/业务/日志）
- 内网镜像源与断网环境更新
- 第三方应用与自带组件补丁
- OpenSSL 版本与 Heartbleed 类自查
- CVE 评估表模板（资产×版本×暴露×结论）
- 漏洞扫描工具选型与使用边界
- 补丁前快照与备份准备
- 回滚方案与已知问题清单
- 更新历史审计（yum history / dpkg.log）
- Apache HTTPD 版本与模块核查
- Nginx 版本与配置核查
- 组件清单（SBOM）与依赖台账
- Windows 第三方软件补丁管理
- 包版本锁定与排除（versionlock/apt-mark）
- 云安全中心/主机防护 agent 落地
- Windows 更新故障排查（缓存与组件）
- 固件/BIOS/BMC 补丁管理
- 带凭据扫描与基线合规扫描
- 漏洞报告处置 SLA 与复盘
- 补丁合规报表与敞口统计
- 扫描误报的复核与豁免流程
- 补丁管理指标（MTTP 与合规率）
月度补丁评估（补丁星期二节奏）
微软每月第二个周二发布安全更新：建立“公告阅读→影响评估→测试→灰度→全量→验证”的月节奏，紧急公告（带外）单独走应急。
易错点
- 域控/备份服务器放在第一批：修复顺序反了会扩大故障面
- 测试环境与生产的软件栈差异过大：测试价值有限，必要时用生产影子机
数据来源与参考
- Microsoft：Security Update Guide
- NIST SP 800-40：补丁节奏