企业安全自查方案

neant

利用业务系统低峰期，例如周末做一次内部安全自查 + 漏洞扫描 + 整改，

核心目标：扫漏洞、找弱口令、找配置问题、域 / 内网风险、Web 系统漏洞，然后修复加固。

一套轻量、不破坏业务、周末就能干完、完全合规的方案 + 工具清单 + 操作顺序

一、整体思路（周末版，安全无风险）

1. 划定扫描范围：办公网段、服务器网段、OA/ERP/ 文件服务器、AD 域控、WiFi、打印机

2. 时间：周末业务低峰，避免影响正常系统

3. 禁止：不搞提权、不横向渗透、不植入木马、不拿权限，只做扫描、配置检查、弱口令检测

4. 输出：漏洞清单 → 风险分级 → 逐个修复加固

二、分模块工具（全部免费开源，适合自查，不搞攻击）

1. 内网资产 + 端口 + 服务扫描（找开放端口、危险服务）

· Advanced IP Scanner（Windows 可视化，小白友好）扫内网存活 IP、MAC、主机名、共享文件夹、开放端口

· Nmap扫描端口、服务版本、是否开启 445、3389、22、5985 等高危端口

· 重点关注：445 (SMB)、3389 (RDP)、22 (SSH)、389 (LDAP)、53 (DNS)

2. 弱口令专项检测（最常见高危漏洞）

· CrackMapExec(CME)：批量检测 Windows 共享、RDP、域账号弱口令

· Hydra：爆破 SSH、数据库、Web 后台

· 密码字典：123456、公司名称拼音、admin、root、123123、工号、手机号、初始密码

只做弱口令验证，不暴力深度爆破，避免锁账号。

3. Web 系统漏洞扫描（OA、内部管理系统、官网后台）

· Xray（国内最稳，被动扫描，误报低）扫 SQL 注入、XSS、越权、弱口令、目录遍历、后台泄露

· Burp Suite 社区版：手动简单测逻辑漏洞

· Dirsearch：扫后台地址、备份文件、配置泄露

4. Windows 服务器 / 域环境自查（企业最容易出事）

· SharpHound（BloodHound 采集器）只收集域结构、权限、共享、登录关系，不攻击，看有没有域管理员权限泄露、普通用户权限过高

· 手动检查：服务器是否开自动登录、密码是否明文、共享文件夹是否全员可访问、域账号是否多人共用

5. 主机 & 配置漏洞检查（办公电脑、服务器）

· OpenVAS/GVM：开源漏洞扫描器，扫系统补丁缺失（永恒之蓝、SMB 漏洞、高危 CVE）

· 手动查：系统是否打补丁、防火墙是否关闭、管理员账号默认未改名、开启 Guest 账户

三、周末自查最简操作步骤（按顺序来，1 天搞定）

1. 用 Advanced IP Scanner 扫全公司内网资产，整理 IP 清单

2. Nmap 扫端口，标记高危端口

3. Xray 扫所有 Web 系统（OA、内部平台）

4. CME 批量检测弱口令、共享权限

5. SharpHound 采集域信息，看权限问题

6. GVM 扫系统漏洞、补丁缺失

7. 整理所有漏洞：高危 / 中危 / 低危

8. 逐个修复：改弱口令、关闭不必要端口、打补丁、加固共享、修改域权限

四、必查的高频漏洞（企业 90% 都有）

1. 大量 Windows 主机445 端口开放，未打 SMB 漏洞补丁

2. 管理员弱口令、共用账号、初始密码未修改

3. RDP 3389 端口对公网 / 内网全开放，无 IP 白名单

4. 共享文件夹权限过大，任何人可读写

5. OA / 内部系统存在默认后台、弱口令、SQL 注入

6. 域内普通用户权限过高，可横向访问服务器

7. 服务器防火墙关闭、远程桌面无限制

五、修复加固简单方案（直接照做）

1. 所有系统关闭不必要端口（445、3389 仅限内网 + IP 白名单）

2. 统一修改弱口令，密码复杂度：大小写 + 数字 + 符号

3. 服务器、域控定期打补丁

4. 共享文件夹严格权限，最小化开放

5. RDP、SSH 只允许指定 IP 访问

6. 域账号一人一号，禁止共用