基线核对的起点是把现网配置完整取回来。防火墙上已有的策略条目、地址对象与时段设定，会整理成一份可检索的清单，再与既定基线逐条比对，差异项标出所在设备、条目序号与风险等级。
核对不只看“有没有”，也看“顺序对不对”。同一条放通策略排在拒绝策略之前，风险等级完全不同，因此比对时同步输出策略序号与命中计数，帮助判断哪些条目仍在使用、哪些可以合并或下线。
先把对外开放的端口完整列出来，再决定哪些真的需要留在公网。互联网出口的映射规则、远程管理入口、临时开放的服务端口，是风险最容易积累的三个位置。
收敛动作按风险排序：先关停无人认领的映射，再对必须保留的入口加访问来源限制，最后统一管理入口的接入方式，并为每一项调整记录保留理由与回滚方式，避免影响正常业务。
同样是梳理边界，按次排查和基线化推进留下的东西并不一样。
把网络按用途切成若干区域，是边界策略能讲清楚的前提。生产区、办公区、测试区与运维通道之间的访问关系，应当用成组的策略表达，而不是靠零散条目临时放通。
分区之后，跨区访问只保留必要的方向与端口。运维通道单独设区，接入设备与操作账号绑定，操作过程留存日志，既方便事后追溯，也避免一个入口同时承担多种用途。
巡检的价值在于“和上次比”。每次核对都会生成一份带日期的结果，与上一版逐条对照，新增、修改与删除的策略分别标注，变化原因写在同一条记录里。
变更留痕不必复杂：谁在什么时间因为什么原因调整了哪条策略，附上变更前后的配置片段即可。积累两三轮之后，边界状态的变化轨迹就清晰可查了。
最新信息 本期内容按月更新，最近一次补充了出口收敛的保留理由写法与巡检对照的标注口径。
查看部署与运维支持