别等被黑才想起补漏：给服务器排一张安全自查月历
做企业 IT 的都有个体会：安全这件事，缺的不是知识，是提醒。漏洞新闻天天有——光 9 月以来，VPN 网关、对外营业的商城系统、服务器上的备份组件、操作系统内核就接连曝出正在被利用的漏洞——每次看完都想着"回头查一下"，然后被订单、售后、会议冲掉，一晃一个月过去，什么都没动。与其每次被新闻推着走，不如换一种办法：把自查排进日历，变成跟交房租一样的固定动作。
四周一个轮回，每月一轮
把自查拆开，每周只做一件事，每件事半小时到一小时，一个月就是一个完整轮回。全年十二轮，服务器的基本面就稳住了。
第一周，对版本。 把名下所有设备和服务列一张清单：服务器操作系统、数据库、中间件、管理面板、备份组件，还有路由器、VPN 网关这类网络设备的固件。逐项看版本：系统用包管理器查待装的安全更新，设备进后台看有没有新固件。发现安全补丁不着急当天就打，先记下来排进第三周的窗口——这一步的产出是一张"待升级清单"，不是手忙脚乱的重启。
第二周，理账号。 服务器、管理后台、邮箱、监控平台，挨个清账号：离职员工的、装机时留下的测试账号、厂商远程支持用完没删的，一律清掉；所有默认口令改掉；管理后台和邮箱开启二次验证。账号是攻击者拿到手的第一个立足点，账号越少、口令越硬，第一步就越难迈。
第三周，验备份。 备份不是"配置了"就算数：抽一个副本实际恢复一次，确认数据读得出、业务回得去；至少留一份离线或异机的副本，别让勒索软件一份加密全端。恢复演练欠了几个月的，本周补上；升级窗口也排在这周——先做快照，再动系统。
第四周，翻日志、理入口。 把这一个月的管理后台登录记录翻一遍，有没有陌生 IP 反复尝试；对外开着的端口和公网服务对一遍清单，不再用的入口关掉，远程管理不裸奔在公网上。这一步收的是"面"：暴露面越小，下个月睡得越踏实。
三个配套的小习惯
清单之外，还有三件事值得固化成习惯。一是变更先快照：凡要升级、改配置，动手前先做快照或确认备份可恢复，出问题能退回原点。二是台账随手记：设备型号、账号清单、证书到期日、上次恢复演练的日期，记在一个固定文档里，交接和排查都靠它。三是专人负责：哪怕这个人就是老板自己，在手机日历上立四个每周提醒，月历才不会沦为一张贴在墙上的纸。
这套月历不挑行业：跑 ERP 和 OA 的贸易公司、装了监控平台的门店仓库、自建官网接询盘的工厂，都照用。机器多、没人手盯的企业，贵州诚鑫致达科技（企业数据管家）可以按这张月历定期上门代巡检，四件事按周落地，漏洞新闻再弹出来，你先看完清单再说。
信息来源：综合 CISA 已知被利用漏洞目录公开信息与企业安全运维通用实践整理（公开口径）