网络整改回复函

贵局2024年11月18日对我司机房进行的网络网络安全专项检查，共查出七项隐患。整改其中三项属于高危，回复函四项属于中危。网络我们已在12月2日完成全部整改，整改比约定时间提前了三天。回复函

先说最严重的网络那项——核心交换机存在默认口令。检查当天下午，整改我们就把设备断网了。回复函运维老张蹲在机房里，网络把思科2960和华为S5720两台设备的整改管理口令全部改成32位随机串，并存进公司密码保险箱。回复函改完后做了三次暴力破解测试，网络锁死五次即触发短信告警。整改这个隐患能存在半年，回复函是我失职。月报里写过“建议定期更换”，但没落实到具体日期，等于没说。

第二项高危漏洞出在OA系统的文件上传接口。渗透测试报告显示攻击者可上传webshell。我们没简单打补丁，而是把整个上传模块重写了。新逻辑限制扩展名白名单、二次校验文件头、上传目录剥离Web执行权限。开发组花了四天，测试组又花了两天，模拟了七种绕过方式，全被拦下。顺手查了日志，过去三个月没有实际攻击记录，算是不幸中的万幸。

第三项高危和Wi-Fi有关。访客网络和办公网络原来共用VLAN，检查时用手机连上访客Wi-Fi，居然能Ping通财务打印机的IP。我们重新规划了网段，访客走独立VLAN，加装AC控制器做隔离。物理层面也动了——原来挂在走廊的两个吸顶AP移到会议室内部，信号覆盖范围从楼外十米缩到楼内五米。楼下便利店老板要是再想蹭网刷抖音，得先问问保安同不同意。

中危项里，有两台服务器操作系统版本过旧。一台是跑内部考勤的CentOS 6，另一台是备份用的Windows Server 2012。CentOS 6已停止维护，我们直接把它迁移到Rocky Linux 9.4，顺便把考勤数据库从MySQL 5.5升到8.0。迁移过程出了点岔子——老库的字符集是latin1，导致新库里中文姓名变成乱码。恢复备份重导，折腾到凌晨两点才干净。Windows那台更直接，重装成Server 2022，反正备份软件支持新版系统。

剩下两项中危都是日志问题。审计日志原来保留90天，现在延长到180天，并按天压缩归档。另外开启了设备时钟的NTP同步，之前交换机时间慢了十七分钟，日志时间戳对不上，排查事件时容易误判顺序。现在全网设备统一走内网时间服务器，偏差不超过一秒。

整改期间，我们顺手做了件额外的事。把全公司二十三台办公电脑的杀毒软件从免费版换成企业版，统一管控。不是检查要求，但既然动了安全体系，就一并收拾干净。这花了些预算，不过比起出事后的代价，这点钱值得。

所有整改过程都有截图和操作记录存档，共形成电子文档四十六页，纸质版已装订成册。贵局若需复查，随时可派人来现场验证。我们计划下季度再做一次内部渗透测试，请第三方机构执行，避免自己人查自己人容易走过场。

网络安全这东西，平时看着没事，真出事就是大事。这次检查帮我们揪出不少盲区，虽然过程有点难堪，但结果是好的。后续每月第一周，运维组会固定做一次口令轮换和漏洞扫描，雷打不动。