去年秋天，安全一个做电商的漏洞朋友半夜给我打电话，声音发紧。自查他说后台突然多出几十条异常登录记录，安全IP全在境外。漏洞更麻烦的自查是，有用户投诉收到了从未下过的安全订单确认邮件。他问我：“我明明装了防火墙，漏洞怎么还会这样？自查”我让他先别慌，打开服务器日志。安全结果发现，漏洞一个三年前离职员工留下的自查测试账号，密码还是安全默认的admin123，权限却一直没删。漏洞

这种事太常见了。自查安全漏洞很少是电影里那种天才黑客用零日漏洞攻破层层防御。更多时候，它就是某个角落里一个被遗忘的配置、一个偷懒的密码、一段没人维护的老代码。你花大价钱买的WAF、IDS、EDR，可能挡不住一个没改的默认口令。

我习惯每隔两个月做一次自查。不是走流程，是像收拾房间一样，把每个角落翻一遍。先从最不起眼的地方开始：那些“临时”的东西。临时开的端口、临时加的账号、临时改的规则。它们往往活得很久。我见过一个生产环境数据库，3306端口对公网开放了两年，理由是“当时调试方便，后来忘了关”。

检查账号体系是重头。别只看有多少用户，要看有多少“僵尸账号”。离职员工、外包人员、测试账号、服务账号。每个账号都是一扇门。我一般会拉出最近90天无登录记录的账号，一个个确认。能禁用的禁用，能删的删。权限别给太宽，一个只读账号非要给root，等于把钥匙插在门上。

密码策略也得较真。别信“强密码+定期更换”那套老话，用户只会把Password1改成Password2。更实际的做法是：关键系统上MFA，服务账号用随机长密码，禁止复用。我见过一家公司，运维图省事，把所有服务器密码设成同一个，还在内部wiki上写了明文。后来一个外包人员电脑中毒，全盘沦陷。

依赖项和第三方组件是另一个重灾区。你用的开源库、框架、插件，每一条都可能带漏洞。别只看主版本，要查CVE。有个项目用了某老版本日志组件，爆出JNDI注入，攻击者直接反弹shell。团队说“我们没对外网暴露”，可内网一台被钓鱼的机器就能横向过去。更新依赖不丢人，拖着不更新才丢人。

日志和监控别只盯着CPU和流量。异常登录、权限变更、敏感文件读取，这些才是信号。我朋友那次，如果早点看登录日志，会发现那个测试账号在凌晨三点从罗马尼亚登录。可惜他之前从没翻过。

最后，别把自查搞成一次性运动。安全是持续动作。每周花半小时看看新开的端口、新加的账号、新上的服务。比年底突击强得多。漏洞不会因为你忙就消失，它只会等你松懈的时候敲门。

(责任编辑：热点)