档案管理系统安全审计不深入？五步落地可执行深度安全审计

前置准备

你仅需要准备2个免费开源工具，根据你的服务器系统选择对应安装方式，所有安装命令可直接复制执行：

• 工具1：OpenVAS 开源漏洞扫描工具（Debian/Ubuntu系统安装命令）：

  ```
  sudo apt update && sudo apt install -y openvas
  sudo gvm-setup
  sudo gvm-check-setup
  ```
  

  执行完成后会输出默认管理员账号密码，保存后即可使用。
• 工具2：系统审计工具：Linux服务器用auditd，安装命令：

  ```
  sudo apt install -y auditd audispd-plugins
  ```
  

  Windows服务器无需额外安装，直接使用系统自带的本地安全策略即可。

实操五步落地深度审计

第一步：梳理全量审计范围，消除盲区

审计不深入的核心原因是遗漏核心资产，你需要按照以下三类梳理所有资产，整理成表格：

• 核心数据资产：结构化档案元数据（编号、权属、密级等）、非结构化扫描件、备份文件
• 系统业务资产：服务器IP、数据库端口、后台管理地址、第三方对接接口、域名
• 权限账号资产：系统管理员账号、普通查阅账号、外部共享账号、第三方对接服务账号

强制要求：表格必须标记每个资产的负责人和访问路径，未纳入表格的资产全部补充后才能进入下一步

第二步：深度权限审计，排查越权风险

档案系统超过60%的安全事件来自权限问题，按以下步骤逐一核查：

• 1. 清理僵尸账号：导出系统全量账号，和梳理的资产表核对，所有离职人员未回收账号、测试遗留账号、过期共享账号全部直接禁用，禁止保留启用状态。
• 2. 手动测试越权漏洞：用普通查阅账号登录系统，打开浏览器F12开发者工具，找到获取档案详情的请求，把请求参数中的user_id或archive_id修改为其他非授权值，重新发送请求，如果能返回对应档案内容，说明存在越权漏洞，需要立即修复。
• 3. 批量检测弱口令：使用hydra工具批量扫描，命令可直接复制修改：

  

  ```
  hydra -L 你导出的账号列表.txt -P 弱口令字典.txt 你的档案系统IP http-post-form "/login:username=^USER^&password=^PASS^:F=登录失败"
  ```
  

  弱口令字典直接下载开源通用字典：https://github.com/danielmiessler/SecLists/blob/master/Passwords/Common-Credentials/10k-most-common.txt，下载后直接使用即可。扫描出的弱口令账号全部强制重置密码。

第三步：全链路操作审计，留存可追溯日志

大部分档案系统仅留存应用层日志，缺少服务器层审计，出现问题无法追溯，按以下配置：

• Linux服务器配置auditd审计规则：编辑文件/etc/audit/rules.d/audit.rules，直接复制以下内容到文件末尾：

  ```
  监控档案存储目录所有读写操作
  -w /opt/archive_data -p rwxa -k archive_file_change
  监控数据库配置修改
  -w /etc/mysql/my.cnf -p wa -k mysql_config_change
  监控系统账号修改
  -w /etc/passwd -p wa -k passwd_change
  -w /etc/shadow -p wa -k shadow_change
  ```
  

  保存后执行命令重启生效：sudo systemctl restart auditd
• Windows服务器配置：打开「本地安全策略」→「本地策略」→「审计策略」，依次启用「审计对象访问」「审计账号登录」「审计权限使用」，然后给档案存储目录右键属性→安全→高级→审计，添加Everyone用户，勾选所有成功、失败操作，保存即可。
• 应用层日志要求：必须记录操作时间、操作人IP、操作人账号、操作类型（查阅/下载/修改/删除）、操作对象ID，日志必须单独存储到只读日志服务器，保留时长不低于180天，禁止和应用代码存放在同一目录。

第四步：全资产漏洞扫描，修复已知风险

打开OpenVAS的web管理端，默认访问地址是https://你的服务器IP:9392，用之前生成的账号密码登录，按以下步骤操作：

1. 新建扫描任务，目标填写你梳理好的所有档案系统资产IP、域名
2. 扫描配置选择「Full and fast」，启动扫描，扫描时长根据资产数量在1-4小时不等
3. 扫描完成后导出报告，按照漏洞等级修复：高危漏洞（未授权访问、SQL注入、RCE等）必须72小时内修复，中危漏洞（弱口令、版本过时、敏感信息泄露等）必须15天内修复。

第五步：合规校验，形成审计闭环

最后按照以下合规要求校验，输出审计报告：

• 涉密档案必须采用AES-256加密存储，禁止明文存放
• 档案下载外发必须添加携带操作人信息的水印，可追溯来源
• 配置异常告警：当出现10分钟内下载超过50份档案、1小时内5次登录失败等异常行为，必须自动发送告警给管理员，配置方法：编辑/etc/audisp/plugins.d/syslog.conf，将active参数改为yes，再配置syslog将审计告警转发到管理员邮箱即可。

最终输出的审计报告必须包含：审计范围、发现的问题、对应修复方案、修复时限，安排跟进所有问题修复完成后，形成闭环。后续按照每季度一次全量审计、每月一次增量抽查执行，即可持续保证审计深度。