SECURITY INCIDENT · 正确材料重制版
服务器安全漏洞事件处置情况说明
客户方已对涉事服务器实施全端口封禁，风险入口暂时被阻断，但一卡通同时停用；当前要在不重新放大公网暴露面的前提下恢复必要业务，并完成Vite风险修复和影响核查。
01
情况核验与事件结论
覆盖：事件核验、损失危害、运营单位信息
客户方转述内部安全函件称，相关服务器5209端口存在Vite开发服务文件访问风险，境外IP疑似访问了/etc/passwd。现场已确认函件所列106开头服务器IP和5209端口确属我方交付系统使用，5209对应相关大屏服务。客户方随后禁用了服务器全部端口，导致同机一卡通无法使用，进销存小程序的必要端口也需重新核定。
已确认服务器和5209端口归属；客户方已全端口封禁；一卡通受到连带影响。
外部通报境外IP利用Vite风险访问
/etc/passwd，尚未由我方独立核验。待核查攻击是否成功、其他文件访问、凭据暴露、木马后门、数据和业务损失。
我方在会议时未看到原始函件，也没有来源IP、告警、请求和服务器日志。正式材料不能写“未造成损失”“未发生泄露”或“已经彻底修复”。
02
处置和整改要求
覆盖：排查过程、协调处置过程和结果；直接写明“要怎么干”
1. 保全证据
→2. 最小化恢复
→3. 修复与排查
→4. 复测结案
恢复一卡通或进销存时，只开放经确认的必要端口并限制来源范围；5209及其他非必要端口继续关闭，不能为了恢复业务重新整体开放公网。
| 工作事项 | 责任角色 | 时限 | 必交证据 |
|---|---|---|---|
| 保全原始告警和服务器日志 | 客户安全、系统管理员 | 2小时内 | 函件/告警、来源IP、请求、网络/主机/应用日志、SHA256 |
| 核定并恢复必要业务端口 | 客户网络、我方运维 | 2小时内 | 端口—进程—用途—责任人清单、最小放行规则、连通性截图 |
| 停止并修复Vite风险服务 | 我方应用负责人 | 12小时内 | 版本和启动参数、停服/升级记录、静态构建部署、回滚方案 |
| 排查攻击行为和主机风险 | 双方安全、系统管理员 | 24小时初结论 | 账号/登录/进程/连接/计划任务/WebShell/木马/文件改动记录 |
| 轮换可能暴露的凭据 | 系统、数据库、应用负责人 | 日志保全后24小时 | 轮换清单、执行时间、旧凭据失效验证 |
| 复测与三套业务回归 | 客户安全、我方应用测试 | 修复后立即 | 5209外网复测、漏洞复测、依赖复扫、一卡通/进销存/大屏截图 |
| 形成正式回函 | 事件负责人、三方审核人 | 客户要求的次日12点前 | 六类内容、关键步骤截图或日志、审核和发送回执 |
发现WebShell、木马、后门、异常账号或无法解释的系统文件改动时，立即隔离主机、保留镜像和日志，并从可信镜像或备份重建。
03
防护要求与结案标准
覆盖：防护计划、完成门槛和统一回函口径
- 生产环境禁止Vite等开发服务直接暴露公网，只发布经过构建和审核的生产产物。
- 建立公网IP、端口、进程、用途、责任人和到期时间台账，无审批或无必要性的端口一律关闭。
- 建立第三方组件清单、版本锁定、上线前漏洞扫描和高危漏洞阻断发布机制。
- 集中保存网络、主机、应用和运维日志，对异常登录、敏感文件访问、端口变化和异常外联告警。
- 智慧食安大屏、一卡通和进销存逐步拆分部署或网络分区，避免单点风险造成多系统同时停用。
现在可以写
涉事服务器已实施临时网络隔离；服务器和端口归属得到现场确认；必要业务正在核定恢复。结案前必须补齐
端口最小化证据、Vite修复、攻击时间线与影响结论、凭据轮换、恶意程序排查、漏洞复测及三套业务回归。统一正式口径：涉事服务器已完成临时网络隔离，正在恢复必要业务并开展漏洞修复和影响核查。
签发前补录：客户系统运营单位、涉事服务器完整IP、系统正式名称、事件发生与处置时间、Vite/Node版本、双方责任人及实际完成时间。