凌晨两点，网络我盯着屏幕上的安全漏洞扫描报告，第17个高危项是自查“Apache Log4j2远程代码执行”。这玩意儿在2021年12月爆出来的工作时候，全球至少一半企业的台账服务器都在裸奔。我们公司也不例外——那台跑着客户数据的网络旧服务器，用的安全还是log4j 2.14.1版本，距离修复版本差着三个大版本。自查当时运维老张拍着胸脯说“没事，工作内网环境”，台账结果第二天就被安全团队在日志里发现了异常调用链。网络后来复盘，安全要不是自查隔壁部门同事误点了一封钓鱼邮件，我们根本不会注意到那台机器已经被当成了跳板。工作

所以，台账台账这玩意儿，真不是给上级检查用的花架子。我见过太多团队，把自查表填得漂漂亮亮，资产清单、漏洞记录、整改时限，一应俱全。可你翻开细节看，资产清单里还躺着三年前就报废的测试机，漏洞状态写着“已修复”，实际上只是把扫描器关了。这种台账，糊弄的是自己。真正的台账，得是你凌晨三点爬起来翻的那种——它得告诉你，那台暴露在公网的Jenkins服务器，密码是不是还停在“admin123”。

上个月我们做了一次全量自查，过程比想象中枯燥得多。第一步不是碰电脑，是翻抽屉。行政那边翻出17张离职员工的门禁卡，其中6张还能刷开机房的门。这比任何漏洞都致命——物理访问权限比远程漏洞好利用多了。第二步才是资产盘点，用nmap扫了一圈，发现比去年台账上多出23台设备，其中11台是各部门私自拉的“野机子”，连IP都没报备。最离谱的是财务部那台共享打印机，居然开着SMBv1协议，简直是给勒索病毒递刀子。

自查的重点不是“查”，是“逼自己承认不知道”。我们专门挑了个周五下午，把所有系统管理员关进会议室，每人发一张白纸，要求默写自己负责系统的所有开放端口、数据流向、备份策略。结果最资深的老李只写出了60%，他自己都愣了——原来平时依赖的文档早过期了。这比任何扫描器都管用，因为工具只能告诉你“有什么”，而这张白纸能告诉你“你以为你有什么”。

整改的优先级排序，我从来不看CVSS评分，那玩意儿太理论。我只看“如果这个洞被打了，业务停不停”。比如我们有个内部论坛，常年挂着4.0的高危漏洞，但只有30个内部用户，且数据不敏感——先放着。而那个连着客户API的网关，哪怕只是个中危的信息泄露，也得当天修完，因为客户合同里写着“数据泄露按次罚款”，一次五十万，够买三辆帕萨特了。

写台账最忌讳的，是把“完成”当“结束”。我们现在的习惯是，每次自查完，顺手把整改记录写成“事故预演”——不是“已升级版本”，而是“如果当时没升级，攻击者会怎么打进来”。这种写法看着啰嗦，但半年后翻出来，比干巴巴的“已修复”有用得多。上周有个新来的实习生问，为什么台账里每一条都像在写小说？我说，因为真正的安全事件，从来不是按“漏洞-补丁”的线性逻辑发生的，它是一张网，台账只是网上的一个结。你把这个结打实了，网才不容易破。