网站安全运维 checklist：每月必做的10项安全检查

网站是许多企业面向客户的核心窗口，也是业务运转的重要基础设施。然而，网站上线后的安全运维往往被忽视——系统补丁未及时更新、备份从未真正恢复验证、异常登录无人关注，这些问题累积到一定程度，就可能演变为数据泄露、业务中断甚至勒索攻击。网络安全事件的发生，常常不是因为攻击手段多么高级，而是因为基础的安全检查没有做到位。

以下是一份面向网站运维团队的月度安全检查清单，共10项。建议在每个自然月固定时间（如月末或月初）集中执行，逐项核对并记录结果，形成可追溯的运维档案。每项检查均包含具体操作方法和判断标准，便于团队落地执行。

一、系统资源使用情况检查

服务器 CPU、内存、磁盘 I/O 等资源的长期高负载，会直接导致网站响应变慢、服务不稳定甚至进程崩溃。每月应至少登录服务器一次，使用 top、htop 或云厂商控制台的监控面板，查看以下指标：

• CPU 使用率：平均负载是否超过核数阈值，峰值是否异常。

• 内存占用：物理内存与交换分区（swap）的使用比例，是否存在内存泄漏迹象。

• 磁盘空间：根分区和日志分区使用率，建议保留 20% 以上的空闲容量，避免日志写满导致服务异常。

• 磁盘 I/O 与网络流量：是否存在异常的读写或流量突增。

对于发现的高负载进程，应查明其合法性（是否为业务进程或被入侵植入的挖矿程序）。建议同时配置基础告警策略，当 CPU 或磁盘使用率超过阈值时自动发送通知，实现日常监控与月度检查互补。

二、操作系统与软件补丁更新

未修复的已知漏洞是黑客入侵的主要入口。OpenSSL、Nginx、PHP、MySQL 等常见组件一旦曝出高危 CVE，攻击者往往在数小时内就开始批量扫描。每月应执行以下操作：

• 登录服务器，运行系统包管理器更新命令（如 yum update、apt update && apt upgrade -y），更新 Linux 内核和系统工具。

• 检查 Web 服务器、数据库、缓存中间件（Redis/Memcached）的版本，与官方安全公告比对，确认是否需手动升级。

• 若使用建站程序（如 WordPress、Discuz!、Drupal），登录后台检查是否有安全补丁发布，并及时更新核心、插件和主题。

重要原则：任何更新操作前，务必对服务器做快照或完整备份，并在测试环境验证兼容性，避免更新导致业务中断。对于高危漏洞的修复，不应等到月度检查，而应启动紧急变更流程。

三、安全日志审查与异常登录排查

暴力破解和异常 IP 登录往往是入侵的前奏。每月应系统化审查以下日志：

• 系统登录日志（Linux 的 /var/log/secure 或 /var/log/auth.log，Windows 的事件查看器）：使用 grep "Failed" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr 统计失败尝试来源 IP，对高频 IP 进行封禁。

• SSH 或 RDP 成功登录记录：检查是否存在非授权时间或非预期来源 IP 的成功登录。

• Web 访问日志（如 Nginx 的 access.log）：查找大量 404、50x 状态码，或对管理路径（如 /admin、/wp-admin）的集中请求，这可能是扫描行为。

建议部署 Fail2Ban 或云盾等工具，实现自动封禁。每月同时检查这些防护工具的规则是否生效，封禁列表是否过长需清理。

四、数据备份完整性与可恢复性验证

勒索病毒、误操作、硬件故障都可能导致数据永久丢失。很多团队虽然配置了自动备份，但从未验证过备份文件能否真正还原。每月应执行：

• 检查自动备份任务（如 crontab 中的 mysqldump、rsync 脚本）是否按计划执行，备份文件是否生成且大小正常。

• 从最近的备份中抽取一个时间点，在隔离的测试环境中进行完整恢复演练，包括数据库还原、文件恢复、配置重载，并验证网站功能是否正常。

• 确认备份文件是否加密存储，且至少有一份异地副本（如对象存储或另一可用区）。

一条核心原则是：没有经过恢复测试的备份，等于没有备份。记录每次恢复演练的耗时和问题，持续优化备份策略。

五、Web 应用漏洞扫描

SQL 注入、XSS 跨站脚本、文件上传绕过、CSRF 等 Web 漏洞是攻击者最常利用的入口。每月应使用扫描工具对网站进行一次全面检测：

• 可使用自动化漏洞扫描器（如 AWVS、Nikto、OpenVAS 或在线 SaaS 服务）对网站的公开 URL 进行爬取和攻击测试。

• 重点检查敏感目录和文件是否暴露（如 phpinfo、phpmyadmin、.git、.env 等），这些应禁止公网访问。

• 确认 SSL/TLS 证书是否有效，HTTPS 是否强制跳转，混合内容（HTTP 资源）是否已清理。

• 若使用 CMS，应对所有安装的插件和主题进行版本漏洞查询（可通过 WPScan 等专用工具）。

发现的中高危漏洞应列入修复计划，高危漏洞需在 24 小时内修补并重新扫描验证。

六、安全配置审计与基线检查

服务器的安全配置会因临时调试或人员操作而发生“漂移”，偏离初始安全基线。每月应执行一次配置审计：

• 检查文件权限：关键系统文件（如 /etc/passwd、/etc/shadow）和网站目录权限是否过于宽松（如 777），应遵循最小权限原则。

• 审查 SUID/SGID 二进制文件，使用 find / -perm -4000 -type f 列出并确认其必要性。

• 检查计划任务（crontab）是否有异常条目，尤其是以 root 身份运行的脚本。

• 可使用自动化基线检查工具（如 Lynis、CIS-CAT）生成报告，并与上个月的基线对比，识别新增的配置变更。

任何非授权的变更都应追溯来源，如果是临时操作，需评估是否可以撤销或调整为更安全的方式。

七、SSL/TLS 证书有效期及强度检查

证书过期会导致浏览器显示安全警告，直接损害用户信任并阻断交易流程。每月应：

• 使用 openssl s_client -connect 你的域名:443 或在线工具检查证书到期时间，确认剩余有效期大于 30 天。

• 检查证书链是否完整，中间证书是否被正确安装。

• 测试 TLS 协议版本和加密套件，禁用弱协议（如 TLS 1.0/1.1）和弱加密算法（如 RC4、3DES）。

• 若使用 Let's Encrypt 等自动续期证书，需验证续期任务是否运行成功，并测试续期后的服务重载是否无感知。

建议设置多级提醒（提前 60 天、30 天、7 天），由不同负责人接收，避免单一联系人遗忘。

八、WAF 规则与防火墙策略复核

Web 应用防火墙（WAF）和网络防火墙是防御攻击的第一道屏障，但规则库需要持续更新，策略也可能被临时放行规则所污染。每月应：

• 登录 WAF 管理控制台，检查规则库是否为最新版本，确认是否有新增的 OWASP Top 10 防护规则。

• 查看 WAF 近一个月的拦截日志和告警事件，分析是否有被绕过或误报的情况，相应调整规则动作。

• 检查服务器本地防火墙（如 iptables、firewalld）的入站规则，仅开放必要的端口（如 80、443、SSH 端口），并限制管理端口仅允许特定 IP 段访问。

• 若使用云安全组，同样复核策略是否存在过度开放（如 0.0.0.0/0 允许所有端口）。

对于长期没有使用的放行规则，应予以删除，保持策略精简。

九、用户账户与权限清理

人员离职、临时账户未回收，是内部安全风险的重要来源。每月应检查服务器操作系统、数据库、网站后台以及第三方管理平台的所有用户账户：

• 列出操作系统所有登录用户（cat /etc/passwd），禁用或删除已离职人员、测试用途的账户。

• 检查 sudo 权限组，确认只有必要人员拥有管理员权限。

• 检查数据库（MySQL/PostgreSQL）中的用户表，移除空密码账户和默认账户（如 root@'%'）。

• 检查网站管理后台的账号列表，禁用长时间未登录的账号，并强制高权限账号启用多因素认证（MFA）。

同时检查 SSH 公钥文件（~/.ssh/authorized_keys），删除不再使用的公钥，避免被误用。

十、外部攻击面与敏感信息泄漏监测

除了内部检查，还应对网站的外部可见信息进行每月核查：

• 使用在线搜索引擎或威胁情报平台，搜索网站域名是否有敏感信息暴露（如源代码片段、密码提交记录）。

• 检查是否有人在代码托管平台（GitHub、GitLab）上公开了包含 API 密钥或数据库连接字符串的配置文件。

• 查看网站是否被加入任何恶意域名黑名单（如 Google Safe Browsing、PhishTank），如有则需立即处理。

• 对第三方集成服务（如 CDN、对象存储、邮件发送服务）的密钥进行轮换，确认其访问权限未被滥用。

此检查可借助外部威胁情报服务，也可通过简单的搜索引擎语法（如 site:yourdomain.com 加上关键词）手工排查。

以上10项检查并非孤立任务，而应形成“检查—发现—修复—验证”的闭环。建议运维团队建立月度安全台账，记录每次检查的结果、发现的问题、修复措施和耗时，便于追踪趋势。同时，可将其中部分检查项（如资源监控、备份验证）自动化，以减轻人力负担。

网站安全不是一次性的项目，而是持续改进的过程。每月花半天时间严格执行这份 checklist，能够有效抵御绝大多数常规攻击，并大幅降低因配置疏忽或疏于维护导致的意外风险。从下一个月开始，将这份清单纳入你的运维常规流程，为网站构筑稳定可靠的安全基线。