网络安全审计怎么做？手把手带你理清关键步骤

公司刚上线了一个新后台系统，运维同事说‘应该挺安全’，但老板问一句‘有没有人审过？’——没人接得上话。这种场景很常见，不是没做安全防护，而是缺了那层‘被检查的眼睛’。

先搞清楚：网络安全审计不是‘找茬’，是照镜子

它不等于装个杀毒软件就完事，也不是让黑客来黑一次才算数。本质是系统性地‘查漏洞、验策略、看执行’：你的防火墙规则真生效了吗？员工用的密码是不是还写着‘123456’贴在显示器边？权限分配有没有越权现象？这些都得靠审计动作一个个去验证。

四步走，普通人也能上手的基本流程

第一步：盘家底
列出所有要审的对象——别漏掉那些‘没人管但一直跑着’的服务。比如一台老Linux服务器上悄悄运行着旧版Jenkins，或者测试环境数据库居然开着公网端口。用命令快速扫一遍：

netstat -tuln | grep ":80\|:443\|:22\|:3306"

再配合nmap -sV 192.168.1.100看看开放了哪些服务、版本是多少。

第二步：对标准
不用从头发明标准。直接参考等保2.0三级要求或ISO 27001控制项。比如‘身份鉴别’这一条，就逐条核对：登录失败5次是否锁定？密码是否强制8位+大小写+符号？双因素有没有启用？拿表格打钩比对，比空想靠谱得多。

第三步：动手试
光看配置文件不行，得验证。比如看到nginx配置里写了add_header X-Content-Type-Options nosniff;，立刻curl一下：

curl -I https://example.com/test.jpg

确认响应头里真有这行。又比如查日志留存，别只问‘有没有开’，直接进/var/log/audit/翻最近7天的audit.log，看有没有被清空过、时间戳是否连续。

第四步：写实录
报告不是越厚越好。一页纸讲清三件事：哪台设备/系统出了什么问题（例：OA系统Web服务器未禁用TLS 1.0）、风险等级（中危）、一句话修复建议（在ssl_protocols行删掉TLSv1）。附上截图或命令输出更直观，比如openssl s_client -connect example.com:443 -tls1返回成功，就说明TLS 1.0还在跑。

小公司没专职安全员？三个低成本动作先动起来

• 每月最后一个周五下午，花40分钟用Mozilla HTTP Observatory扫一遍官网，看HTTPS、CSP、HSTS这些基础项亮不亮绿灯；
• 把管理员账号导出成CSV，用Excel筛出‘密码为空’或‘最后登录是2021年’的账号；
• 在路由器后台翻‘连接日志’，搜关键词‘China’‘Russia’‘Port 22’，看有没有异常SSH爆破记录——很多入侵其实早就在日志里留下脚印了，只是没人看。

审计不是一次性大扫除，而是把‘检查’变成肌肉记忆。今天改一条弱密码策略，下周核对一次备份恢复流程，下个月再拉一次权限清单。网安这事儿，拼的从来不是多高深的技术，而是有没有人愿意弯下腰，一行行去看、一次次去试。