工作总结
发表时间：2026-04-142026年网络安全自查工作总结。
干我们这行，自查报告写得漂亮没用，关键看下次还能不能查出同样的毛病。
今年自查动员会上，我直接把去年两份报告摔桌上——一份漏扫，一份渗透。翻到同一页：弱口令3处，Tomcat管理后台默认路径未禁用，Nginx配置里autoindex on还开着。我说你们自己看，去年这些洞，今年换个IP又冒出来了。底下没人吭声。
这说明一个问题：去年的整改只堵了当时那几台机器的枪眼，没给整面墙砌砖。
这次我不搞全员扫描、集体填表那套虚的了。拉清单，对资产。三个工程师，小王管外网Web，老李管内网业务平台，小赵跟网络设备和安全设备。我下死命令：所有系统必须找到直接责任人，找不到的，端口先封三天。
第一天就出幺蛾子。
老李配核心交换机，发现三台汇聚交换机的SNMP团体名还是public。我当时脸色不好看，但没骂人。调出设备上线记录——去年底加的两台，用了快速部署脚本，脚本里忘了改这个参数。脚本是我写的，验收清单上也没有SNMP安全配置这一栏。
打脸打在自己身上。 （36gH.CoM 合同范本网）
当场改。改完团体名，我把脚本里加了一段检查逻辑：遍历所有SNMP配置，如果团体名是public/private或者密码长度小于12位，直接退出部署并报错。验收清单新增5项：SNMP版本、团体名复杂度、只读/读写分离、ACL限制、日志记录开关。以后每台上线设备跑完脚本必须把检查结果截图存档。
老李说这还差不多。
第二个事让我跟开发那边差点拍桌子。漏扫报告显示一台文件上传服务器存在目录遍历。开发组长说这个接口是给一套已经没人维护的老系统用的，改代码要重构，排期两周。我说等不了，你那个老系统上跑着财务部的历史数据，被人拖库谁负责？
我带着小赵搭测试环境，直接改Nginx配置。原配置写的alias /home/files/; 后面没做路径过滤。我加了两层：location段用正则禁止URL中出现..和%2e%2e，alias路径末尾强制补斜杠并做规范化检查。改了之后用curl手动构造带../的请求，全部返回403。当天晚上推到预发布，业务低峰期切生产，切的时候中断了不到三分钟——重启Nginx那点时间。
事后我跟开发定了条规矩：以后所有Web应用的路径类配置变更，必须先把nginx配置文件和location规则提PR，我或者小王至少一个人review通过才能上线。开发组长说行，但表情不太情愿。不管。
真正让我后背发凉的是数据库审计日志。
某天凌晨两点，一台应用服务器IP发出一条查询：select * from user_info。没where条件，没limit。这绝对不是正常业务。顺着链路往下查，发现那台服务器的代码里硬编码了一个数据库账号，权限是select on entire database。再查，这个账号最后一次改密码是去年3月，到现在11个月没动过。
- ▲作文5000网zw5000.COm独家解密:
- 网络安全自查 | 网络安全工作总结 | 自然资源网络安全工作总结 | 网络安全金句 | 2026网络安全宣传标语 | 2025网络安全宣传标语
我当时第一反应不是生气，是害怕——如果这个账号被人拿到，整个用户表就裸奔了。
叫上老王连夜干活。先回收权限，改成只给user_info表里业务必需的四个字段的读权限，再加行级限制只允许查当天活跃用户。然后拉着开发负责人，把代码里的连接字符串全部迁移到配置中心，走Apollo热更新，代码里不再出现任何明文账号。最后花了三天，把所有业务系统的数据库账号权限重新过了一遍。用脚本查information_schema，把每个账号的授权范围、最后登录时间、来源IP整理成表。发现有三个账号权限过大，两个半年没登录过，直接禁用。
这次之后，我强制上了工单流程：任何数据库账号权限变更，必须由我或者老王发起工单，开发主管确认业务必要性，DBA执行，变更后24小时内复核。少一环都不行。
写到这，我得承认这次自查还有一块没搞定。有个供应商已经倒闭的报表系统，跑在Windows Server 2008上，漏洞扫描报了十几个中高危，但代码没源码，不敢动。只能暂时在防火墙上封了它的外网访问，加了一条严格的白名单，只允许内网特定几台管理机访问。这是妥协，不是解决方案。我让小王每两周手动扫一次这个系统，出了紧急漏洞只能拔网线。
团队成长这块，我做了两件事。每周五下午留一小时，轮流讲一个自己碰到的奇葩问题。小赵上周讲他怎么从一堆混杂日志里挖出那个异常查询，老李讲他踩过的SNMP坑。不讲PPT，就开个终端现场敲命令。另外我建了个故障复盘卡目录，每个案例写清楚：现象、根因、临时止血、永久修复、谁干的、怎么避免再犯。存在Git仓库里，新人来了第一件事就是读这些。
说到底，做安全自查不是为了填表交差，是下次再查的时候，那些低级问题不会再出现。我现在手边还开着跳板机，随时盯着审计日志。说句实话，我宁愿每天看到告警，也不想某天接到客户电话说数据丢了。
- 欲了解工作总结网的更多内容，可以访问：工作总结
