中小企业网络安全合规零门槛实操：3步完成基础合规整改落地

前置准备

无需采购付费工具，全部使用免费合法工具，提前准备好以下内容：

• 端口扫描工具Nmap：Windows直接下载地址https://nmap.org/download.html选择稳定版安装包；Linux执行命令直接安装：Debian/Ubuntu系用sudo apt update && sudo apt install nmap -y，CentOS/RHEL系用sudo yum install nmap -y
• 免费漏洞扫描工具Nessus Essentials：注册下载地址https://www.tenable.com/products/nessus/nessus-essentials，中小企业可免费使用，注册后直接获取激活码

第一步：梳理资产，收敛公网内网暴露面

网络安全合规的核心基础是摸清自身资产，关闭不必要的暴露入口，具体操作步骤：

1. 扫描获取全量在线资产

   根据你的内网网段，执行扫描命令，输出资产清单到文本文件，例如内网网段为192.168.1.0/24，执行命令：

   
   nmap -sn 192.168.1.0/24 > 内网资产清单.txt
   

   公网资产同理，替换成你单位的公网IP段即可，执行命令后打开生成的txt文件，整理出所有在线IP和对应的设备用途。

2. 关闭非业务必要端口

   对每个在线IP扫描全端口，执行命令，例如目标IP为192.168.1.10：

   
   nmap -p- 192.168.1.10 -oN 192.168.1.10端口清单.txt
   

   整理出所有开放端口，只保留业务必须用到的端口，其他端口全部通过防火墙关闭：

   • Windows操作步骤：控制面板→Windows Defender防火墙→高级设置→入站规则→新建规则→选择「端口」→输入要关闭的端口→选择「阻止连接」→勾选所有网络类型→命名保存规则
   • Linux操作步骤：执行命令关闭端口，例如关闭3389端口：sudo ufw deny 3389/tcp，仅允许内网访问的端口，执行：sudo ufw allow from 192.168.1.0/24 to any port 22

3. 清理闲置账号

   Windows操作：右键此电脑→管理→本地用户和组→用户，删除或禁用已经离职人员的闲置账号；Linux操作：执行cat /etc/passwd查看所有用户，执行sudo userdel 闲置用户名删除账号。

第二步：漏洞修复，完成基线配置合规

这一步是合规检查的核心，按照以下步骤操作即可满足基础合规要求：

1. 扫描并修复高危漏洞

Nessus安装完成后，打开浏览器访问https://localhost:8834，输入注册激活码等待插件更新完成，点击新建扫描，选择「Basic Network Scan」，输入你要扫描的资产IP段，启动扫描。

扫描完成后，优先处理高危、中危漏洞，每个漏洞都附带官方修复方案，按照提示操作即可：弱密码直接修改为符合要求的复杂密码，系统漏洞直接通过系统更新升级。

2. 核心合规基线整改

• 密码策略整改

  Windows操作：Win+R输入gpedit.msc打开组策略→计算机配置→Windows设置→安全设置→账户策略→密码策略，修改为：启用「密码必须符合复杂性要求」，密码长度最小值≥8，密码最长存留期≤90天。

  Linux操作：编辑/etc/login.defs文件，替换为以下配置：

  
  PASS_MAX_DAYS   90
  PASS_MIN_DAYS   1
  PASS_MIN_LEN    8
  PASS_WARN_AGE   7
  

• 日志留存配置

  合规要求日志至少留存6个月，操作如下：

  Windows操作：打开事件查看器→Windows日志→右键「安全」→属性，设置最大日志大小为10240MB，选择「当日志满时覆盖旧事件」；组策略中开启所有审计项，将所有操作设置为同时审计成功和失败事件。

  Linux操作：执行命令开启日志服务sudo systemctl enable --now rsyslog，编辑/etc/logrotate.d/syslog，将rotate参数改为180，即保留180天日志，重启服务sudo systemctl restart rsyslog。

• 防火墙启用检查

  Windows确认防火墙已经启用，Linux执行sudo ufw enable开启防火墙，设置默认入站规则为拒绝，只开放业务需要的端口，例如只开放80和443端口，执行：

  
  sudo ufw default deny incoming
  sudo ufw allow 80/tcp
  sudo ufw allow 443/tcp
  

第三步：整理文档，完成合规备案

整理以下三类材料，即可满足监管的合规检查和备案要求：

• 全量资产清单，整理格式如下：

  IP地址	资产用途	负责人	开放端口
  192.168.1.10	单位官网服务器	张三	80,443

• 漏洞扫描修复报告：导出Nessus扫描结果为PDF，标记所有高危漏洞的修复状态，未修复的标注临时防护措施
• 基线配置截图：保存密码策略、日志配置、防火墙状态的截图，和上述材料整理成完整的自查报告

完成以上全部操作后，即可满足《网络安全法》《网络安全等级保护2.0》对中小企业的基础合规要求，如果需要正式备案，携带整理好的材料到当地网安部门即可完成备案，全程无需额外成本，可独立完成落地。