上周三凌晨两点，网络我盯着防火墙日志里一条反复出现的安全异常登录记录，后背有点发凉。日常对方IP来自境外，检查尝试了十七次SSH连接，台账用的网络是我们一台测试服务器的默认账号。那台机器本不该开着22端口。安全事后复盘，日常问题出在三个月前一次临时调试，检查改完配置没人记得恢复。台账这事要是网络没被日志逮住，可能到数据被拖走那天我们都不知道。安全

网络安全日常检查台账，日常说白了就是检查一本“找茬记录”。别把它想成应付上级的台账表格，它更像你每天出门前摸一下口袋确认钥匙在不在。我见过太多团队把台账做成形式主义——每周填一次“一切正常”，签字了事。真出事了翻出来看，连上次改密码是哪天都查不到。

我们现在的台账分三块。第一块是硬件与网络层，每天上班第一件事，扫一眼核心交换机的指示灯，登录路由器看下流量图有没有异常尖峰。上周五早上发现办公区出口流量比平时高了40%，查下来是某个同事的电脑中了挖矿木马，一直在往外连矿池。这种事不靠日常看基线，根本察觉不到。

第二块是账号与权限。每月1号和15号，我会导出所有系统账号列表，跟人事的入职离职表对一遍。去年有个离职半年的前员工账号还能登录VPN，就是靠这个对出来的。密码策略也得查，我们要求90天强制更换，但总有人把新密码设成老密码加个“1”。台账里专门有一列记录“密码合规检查”，不合格的当场通知改，不改就锁账号。别嫌麻烦，弱密码是勒索软件最爱走的门。

第三块是日志与备份。这块最枯燥，也最要命。我们要求所有服务器日志保留至少180天，每周抽查三台机器的日志完整性。备份更得较真——不是看备份任务成功没成功，而是每季度真做一次恢复演练。上个月恢复演练时发现，某台数据库的增量备份链断了，从两个月前就断了，但备份软件一直报“成功”。要不是真拿备份文件去恢复，这个雷就埋下了。

台账怎么记才不流于形式？我的做法是：每条检查项后面必须跟一个具体数值或状态，不能只写“正常”。比如“防火墙规则数：247条，与上周一致”“异常登录尝试：3次，均来自已知扫描器IP段”。数字不会骗人，写“正常”谁都会写，写数字你得真去看。

还有个细节：台账别用共享Excel在线填。我们用Git管理，每次修改都有记录，谁在什么时候改了哪一行清清楚楚。有次发现某条检查记录被人偷偷改成“通过”，git log一查，是某个运维想掩盖自己漏检。这事之后，台账的修改权限只开放给两个人。

最后说个真实教训。前年有家同行被钓鱼邮件搞了，事后查他们的安全台账，发现连续四个月“邮件网关规则检查”那一栏都是空白。问起来，负责人说“觉得邮件网关不会出问题”。网络安全这事，你觉得不会出问题的地方，往往就是最先崩的地方。台账不是护身符，但它能让你在出事之前，多几次“幸好查了”的机会。