监控系统为什么值得重点看
Zabbix Web 前端的默认管理员账号与初始口令都是公开文档信息，Guest 用户默认存在且对一些页面具有只读可见性。把前端暴露在公网，就同时面临口令尝试与信息收集两类风险。更麻烦的是 Zabbix 常被当作跳板：它掌握全网资产清单，又与大量主机存在被信任的采集与被采集关系。
基本信息
| 组件 | Zabbix Server、Agent 与 Web 前端 |
|---|---|
| 默认端口 | Web 前端 80 或 443，Server 10051，Agent 10050 |
| 默认账号 | Admin 与文档公开的初始口令，Guest 用户默认存在 |
| 主要风险 | 默认口令、Guest 未禁用、前端公网暴露、API Token 管理松散 |
| 加固方向 | 强口令或统一认证、禁用 Guest、限制来源、开启登录告警 |
| 检查位置 | 前端用户管理页面与数据库 users 表 |
| 跳板风险 | 监控网段普遍被业务主机放行，可用于横向探测 |
核查项与期望
| 核查项 | 检查位置 | 期望状态 |
|---|---|---|
| 管理员账号 | 前端用户列表或 users 表 | 默认账号已改名或口令已强化 |
| 角色与权限 | User roles 页面 | 无多余超级管理员 |
| Guest 用户 | 用户与角色配置 | 已禁用，或可见范围收敛 |
| API Token | 用户配置中的 Token 列表 | 无遗留长期令牌 |
| 来源限制 | 反向代理与防火墙规则 | 仅监控网段可访问前端 |
| 登录告警 | 前端与日志配置 | 失败尝试可被发现 |
账号核查（前端与数据库）
账号核查（前端与数据库）
前端：Administration > Users 核对管理员清单
前端：Administration > User roles 确认 Guest 权限
前端：Administration > API tokens 清理遗留令牌
数据库侧（谨慎操作，先备份）：
SELECT username, attempt_failed FROM users;收敛要点
收敛要点
1. 修改默认管理员口令并启用强口令策略，或接入统一认证
2. 禁用 Guest 用户，或把可见性收敛到登录之后
3. 前端仅对监控网段开放，公网访问走 VPN 或网关鉴权
4. 开启登录失败告警，核对 API Token 清单并清理
5. 收敛 agent 与 server 的通信网段，减少全内网可达典型使用场景
- 监控系统上线前的账号与权限核查
- 季度巡检中的默认口令专项
- 渗透测试报告里默认口令与信息泄露问题的整改
- 前端暴露面收敛：确认谁真的需要远程访问
- 应急时确认是否新增了管理员账号或令牌
- 审计举证：给出账号与令牌清单
监控系统是很好的跳板目标：它掌握全网资产清单，又常与各主机存在被信任的连接，防护标准应与运维通道对齐。
改了管理员口令但 Guest 未禁用，未登录仍能看到主机、拓扑与部分监控数据。信息收集这一步不需要任何凭据。