it-service@brocent.com
配置管理
2026 年 8 月報告週期內，終端、服務器與網絡設備的安全基線符合性、配置漂移、變更管控與加固覆蓋情況。
終端符合基線；網絡設備與變更記錄是缺口所在
35 台受管電腦的基線符合率在受評控制項範圍內達到 96.2%，較 7 月的 92.8% 有所提升。磁盤加密、主機防火牆與螢幕鎖定策略現已全部覆蓋；除兩個已批准的應急（break-glass）帳號外，所有用戶帳號的本地管理員權限均已移除。
實質性缺口不在終端，而在其他兩處。十二台網絡設備沒有任何正式基線，其配置依靠慣例而非策略維護；兩台交換機仍允許使用未加密的管理協議。另外，本期有四項配置變更在沒有變更記錄的情況下被實施，均由持有文件服務器管理員權限的客戶方員工執行。
期末配置狀況
符合率僅針對受評控制項集合計算。只有當全部強制性控制項均通過時，該設備才計爲「符合策略」；任何一項未通過即從該計數中剔除，與其嚴重程度無關。
四項需要採取行動
證據。 四台交換機、兩台防火牆與六台無線接入點沒有成文的目標配置。兩台接入交換機仍接受 Telnet 與 HTTP 管理；三台設備共用同一個本地管理員憑據。
影響。 沒有基線就沒有「漂移」的定義，因此對邊界設備的惡意或誤操作變更無法被發現。這也是小型交易機構在運營盡職調查中最常被指出的缺口。
建議。 採納廠商加固指南作爲基線，停用 Telnet 與 HTTP、改用 SSH 與 HTTPS，並將設備管理遷移到由身份提供方支撐的個人帳號。
證據。 漂移監控發現了一項共享權限變更、兩項計劃任務新增和一項防火牆規則修改，均無對應工單。四項操作全部使用客戶方持有的文件服務器管理員帳號執行。
影響。 無記錄的變更會中斷審計軌跡，使事件根因分析不可靠，也意味著配置記錄無法在恢復場景中被信賴。
建議。 停用客戶方共享管理員帳號，改爲具名、限時的權限提升；即使由客戶方員工執行，所有服務器變更也須走標準變更記錄流程。
證據。 兩台研究團隊的 Mac 因 2026 年 3 月爲某項數據傳輸流程批准的例外而被排除在可移動介質策略之外，而該流程此後已被雲共享取代。
影響。 存有研究資料的設備上不受限制的 USB 寫入權限，構成一條不受控的數據外流路徑；同時這也是一個已失去業務依據的過期例外。
建議。 撤銷該例外並以只讀模式重新應用策略；確認雲共享能夠滿足原流程的需求。
證據。 深圳一台台式機的螢幕鎖定超時變更耗時九天才修復，原因是該設備在年度研究停機期間處於離線狀態。
建議。 將連續離線超過五天的設備排除在漂移計時之外，並作爲「不可達」單獨報告。
7 月提出的兩台未加密設備現已完成加密，密鑰託管於租戶中；最後兩項常駐本地管理員權限已於 2026-08-21 移除，改爲即時（JIT）權限提升。兩項均已關閉，此處保留以形成審計軌跡。
五項服務級別中達成四項
| 承諾服務級別 | 目標 | 實際 | 狀態 | 說明 |
|---|---|---|---|---|
| 設備註冊時應用基線 | 100% | 100% | MET | 2 台新設備全部完成 |
| 基線符合率 | ≥ 95% | 96.2% | MET | 針對受評控制項集合 |
| 漂移修復 | ≤ 5 天 | 9 天（1 台設備） | MISSED | 該設備在停機期間離線 |
| 每一項變更均有變更記錄 | 100% | 100%（BCS） | MET | 4 項客戶側變更無記錄 —— 本服務級別覆蓋的是 BCS Support Center 執行的變更；那四項使用客戶方憑據實施的無記錄變更，作爲發現事項報告，而非服務級別違約。 |
| 月度報告出具 | 第 5 個工作日前 | 第 3 個工作日 | MET | 2026-09-03 出具 |
三個週期的變化
| 指標 | 2026年6月 | 2026年7月 | 2026年8月 | 變化方向 |
|---|---|---|---|---|
| 基線符合率 | 89.4% | 92.8% | 96.2% | 連續第三個週期改善，已高於 95% 的承諾值。 |
| 完全符合策略的設備 | 27/35 | 30/35 | 33/35 | 剩餘兩台未通過的，是持有 USB 例外的 Mac。 |
| 漂移事件 | 31 | 26 | 17 | 隨著策略取代手工配置而持續下降。 |
| 未審批變更 | 2 | 3 | 4 | 上升中 —— 唯一原因是客戶方持有的管理員權限。 |
| 漂移平均修復時長 | 4.1 天 | 3.5 天 | 2.4 天 | 持續改善；自動修復現已覆蓋 9 項控制。 |
| 已有基線的網絡設備 | 0/12 | 0/12 | 0/12 | 毫無進展 —— 這是本領域的結構性缺口。 |
柱狀條按最大控制域（5 起）等比縮放。17 起事件中有 12 起在 24 小時內自動修復，其餘 5 起需要工程師介入。
按控制項的基線符合情況
35 台受管電腦的受評控制項集合。標記爲強制性的控制項決定設備是否計爲完全符合策略。
| 控制項 | 強制 | 符合數 | 狀態 | 說明 |
|---|---|---|---|---|
| 全盤加密並託管密鑰 | 是 | 35/35 | 通過 | 本期完成；密鑰保存在租戶中。 |
| 啓用主機防火牆 | 是 | 35/35 | 通過 | 所有配置文件的入站流量預設拒絕。 |
| 無常駐本地管理員 | 是 | 35/35 | 通過 | 即時權限提升；2 個應急帳號已入保險庫。 |
| 螢幕鎖定 ≤ 10 分鐘 | 是 | 35/35 | 通過 | 一起漂移事件修復延遲，現已合規。 |
| 可移動介質受控 | 是 | 33/35 | 缺口 | 兩台 Mac 使用過期例外 — 參見發現事項。 |
| 終端防護處於啓用狀態 | 是 | 35/35 | 通過 | 已開啓防篡改保護；強制實時掃描。 |
| 啓用安全啓動與 TPM | 是 | 30/30 | 通過 | 僅適用於 Windows 設備；Mac 不適用。 |
| 停用陳舊協議 | 否 | 34/35 | 缺口 | 一台設備爲一台舊打印機保留了 SMBv1。 |
| 本地帳號密碼策略 | 否 | 35/35 | 通過 | 由管理代理隨機生成並輪換。 |
| 審計日誌上送 SIEM | 否 | 32/35 | 缺口 | 三台 Mac 等待代理升級；參見 SOC 報告。 |
網絡與服務器配置狀態
| 設備 | 類別 | 固件 | 基線 | 管理協議 | 管理員訪問 | 措施 |
|---|---|---|---|---|---|---|
| ACM-FW-01 | 防火牆 | 最新 | 無 | HTTPS + SSH | 共享本地帳號 | 採納廠商指南 |
| ACM-FW-02 | 防火牆 | 最新 | 無 | HTTPS + SSH | 共享本地帳號 | 採納廠商指南 |
| ACM-SW-C1 | 核心交換機 | 最新 | 無 | SSH | 共享本地帳號 | 採納廠商指南 |
| ACM-SW-C2 | 核心交換機 | 最新 | 無 | SSH | 共享本地帳號 | 採納廠商指南 |
| ACM-SW-A1 | 接入交換機 | 落後 1 版 | 無 | Telnet + HTTP | 共享本地帳號 | 停用 Telnet；升級固件 |
| ACM-SW-A2 | 接入交換機 | 已停止支援 | 無 | Telnet + HTTP | 共享本地帳號 | 更換 — 待處置 |
| ACM-AP-01–06 | 無線接入點 | 最新 | 無 | 控制器 | 控制器單點登入 | 通過控制器派送基線 |
| ACM-SRV-01 | 文件服務器 | 最新 | 已應用 | RDP 受限 | 客戶方 + BCS | 停用客戶方共享管理員 |
| ACM-SRV-02 | 應用服務器 | 最新 | 已應用 | RDP 受限 | 僅 BCS | 無 |
變更活動
| 變更類型 | 數量 | 有記錄 | 說明 |
|---|---|---|---|
| 標準變更（預先批准） | 14 | 14 | 策略分配、基線更新、代理升級。 |
| 常規變更（已審批） | 5 | 5 | 防火牆規則新增與一次共享目錄重構，均有工單。 |
| 緊急變更 | 1 | 1 | 因頁面渲染故障回滾瀏覽器策略；事後補批。 |
| 無記錄 | 4 | 0 | 由漂移監控發現的客戶側變更 — 參見發現事項。 |
跨週期結轉的未決事項
| 編號 | 風險 | 嚴重程度 | 負責人 | 到期日 | 狀態 | 下一步行動 |
|---|---|---|---|---|---|---|
| CONF-R01 | 網絡設備缺少基線 — 無法定義也無法檢測漂移 | HIGH | BCS Support Center | 2026-10-31 | 處理中 | 採納廠商加固指南；優先停用 Telnet 與 HTTP。 |
| CONF-R02 | 客戶方持有文件服務器共享管理員帳號 — 所有無記錄變更的源頭 | HIGH | 客戶方 IT + BCS | 2026-09-30 | 未處理 | 改爲具名的即時權限提升，並關閉該共享帳號。 |
| CONF-R03 | 過期的 USB 例外 — 兩台設備不受可移動介質管控 | MEDIUM | BCS Support Center | 2026-09-30 | 未處理 | 撤銷例外；以只讀模式重新應用策略。 |
| CONF-R04 | 生產環境中存在已停止支援的接入交換機 — 廠商已不再提供固件修復 | MEDIUM | 客戶方 COO | 2026-11-30 | 未處理 | 批准更換；BCS 將隨換代方案一併報價。 |
| CONF-R05 | 爲舊打印機保留 SMBv1 — 一台設備上仍啓用已廢棄協議 | LOW | BCS Support Center | 2026-12-31 | 未處理 | 更換打印機驅動路徑，或在換代時更換打印機。 |
下一週期承諾事項
| BCS Support Center 將 | 需要客戶配合 |
|---|---|
| 發佈網絡設備基線，並停用 Telnet 與 HTTP 管理方式。 | 批准停用文件服務器上的共享管理員帳號。 |
| 撤銷 USB 例外，並確認雲共享可滿足該工作流程。 | 確認研究團隊不再需要可移動介質的寫入權限。 |
| 將網絡設備管理遷移至由身份系統支撐的具名帳號。 | 批准更換已停止支援的接入交換機。 |
| 對離線超過五天的設備，單獨報告其漂移情況。 | 客戶側的服務器變更須走變更記錄流程。 |
本報告的產生方式
| 資料來源 | 擷取時間 | 記錄數 | 用於 |
|---|---|---|---|
| 終端策略平台 | 2026-09-01 02:20 香港時間 | 35 台設備 | 策略分配、各控制項符合情況、漂移事件。 |
| CIS 基準掃描 | 2026-08-30 22:00 香港時間 | 10 項控制 | 對受評控制項集合的獨立符合性驗證。 |
| 網絡設備配置抓取 | 2026-08-31 21:00 香港時間 | 12 台設備 | 固件、管理協議、管理員訪問方式。 |
| 變更與工單記錄 | 2026-08-31 | 20 項變更 | 變更分類與記錄完整性。 |
| 服務器配置審計 | 2026-08-31 | 2 台服務器 | 基線應用情況與管理員訪問複核。 |
方法與定義
基線。 指對應平台的 CIS Level 1，加上服務說明書中約定的客戶附加要求。僅評估第 06 節列出的十項控制；符合率百分比針對的是該集合，並不代表完全符合 CIS 全部要求。
漂移。 指任一受評控制項偏離其基線取值，無論由用戶、應用還是管理員造成。同一設備的同一控制項每次只計爲一起漂移事件；漂移計時從「檢測到」開始，而非從變更發生時開始。
未審批變更。 指檢測到但沒有匹配變更記錄的配置變更。即使該變更本身無害也照樣報告 —— 因爲缺少記錄本身就是控制失效。
排除範圍。 雲租戶配置在《Microsoft 365 安全》報告中呈現；帳號與權限設定在《系統帳號管理》和《訪問與權限複核》報告中呈現。客戶自管軟件內部的應用級配置不在範圍內。
本文檔爲用於展示的匿名化樣本。客戶名稱、主機名、設備標識與廠商名稱均已替換爲虛構或通用值；數量、比例、日期與發現事項反映的是一個具有代表性的受管環境。文檔中不含任何真實客戶數據。
BCS Support Center · it-service@brocent.com
看看你自己的配置管理報告會寫些什麼
免費 IT 健康檢查會針對你的真實環境產出本報告的第一版，不收費、無義務。整個過程約需一週，佔用你團隊幾個小時。