审计准备：审计范围界定、关键资产清单梳理、合规基线建立
说实话，很多团队做证书轮换审计，上来就翻日志、查配置。结果呢？查了一堆无关紧要的证书，真正快过期的根证书反而漏了。我见过太多次这种事了。
所以，审计准备这一步，千万别急着动手。你得先想清楚三件事：审什么、审哪些、按什么标准审。说白了，就是范围、资产、基线。
1. 审计范围界定——别把摊子铺太大
我个人习惯，第一步先画圈。圈定审计范围，不是拍脑袋决定的。你得考虑几个维度：
- 网络边界：对外暴露的服务（比如 API 网关、Web 服务器）必须覆盖。内部服务呢？看风险等级。
- 证书类型：TLS/SSL 证书、代码签名证书、SSH 主机密钥、内部 CA 的中间证书……每种证书的轮换周期和影响面都不一样。
- 环境范围：生产环境肯定要审。预发布、测试环境呢？我建议至少审预发布，因为很多轮换问题是在预发布先暴露的。
- 时间范围：审计过去多久的证书？我个人建议至少覆盖未来 90 天到期的证书，加上过去 30 天内已经轮换过的证书，看看轮换过程有没有留坑。
核心原则：范围宁可先收窄，再逐步扩展。第一次审计就搞全量，你大概率会被海量信息淹没。先聚焦高风险区域，比如公网入口、核心数据库、支付网关。
举个例子。我之前帮一家金融科技公司做审计，他们一开始说“所有证书都要审”。我让他们先列了 20 个最关键的服务，结果发现其中 3 个证书已经过期两周了，监控居然没报警。嗯，这就是范围没聚焦的后果。
2. 关键资产清单梳理——你得知道你家底
范围定了，接下来就是摸家底。这一步最累，但也最重要。你想想看，连自己有多少证书都不知道，怎么审计？
我建议用表格来梳理。下面这个模板，是我在多个项目中打磨过的：
| 资产标识 | 证书主题 | 签发者 | 序列号 | 生效日期 | 到期日期 | 部署位置 | 负责人 | 备注 |
|---|---|---|---|---|---|---|---|---|
| API-GW-001 | *.api.example.com | Example CA G2 | AB:CD:EF:01 | 2024-01-01 | 2025-01-01 | K8s Ingress | 张三 | 自动轮换已配置 |
| DB-CLUSTER-01 | db1.internal | Internal CA Root | 12:34:56:78 | 2023-06-01 | 2024-06-01 | 物理服务器 | 李四 | 手动轮换，需停机 |
| CDN-EDGE-01 | cdn.example.com | Lets Encrypt | AA:BB:CC:DD | 2024-03-15 | 2024-06-13 | CloudFront | 王五 | 90天短周期 |
小技巧：别只靠人工录入。用 openssl x509 -in cert.pem -text -noout 批量提取证书信息，或者用 cfssl scan 扫描网段。我习惯写个脚本，每天凌晨自动跑一遍，把新发现的证书追加到清单里。
这里有个坑，我曾经踩过。有一次审计，我发现清单里有个证书显示“已轮换”，但实际生产环境还在用旧证书。为什么？因为轮换脚本只更新了配置中心，没触发服务重载。所以，清单里一定要加一列“实际生效状态”，别只看配置。
3. 合规基线建立——没有标准，审计就是瞎审
范围有了，资产清了，接下来你得有个“尺子”。这把尺子就是合规基线。
基线从哪里来？我个人建议三个来源：
- 行业标准：比如 PCI DSS 要求证书强度至少 RSA 2048 位或 ECC 256 位，轮换周期不超过 12 个月。
- 内部策略：你们公司自己的安全基线。比如“所有内部证书必须提前 30 天触发轮换预警”。
- 最佳实践：比如 NIST SP 800-57 建议的密钥生命周期管理。
基线不是写出来就完事了。你得把它变成可检查的规则。我通常这样定义：
| 基线项 | 检查方法 | 合规标准 | 违规处理 |
|---|---|---|---|
| 证书算法强度 | 解析证书公钥 | RSA ≥ 2048 或 ECC ≥ 256 | 立即替换 |
| 证书剩余有效期 | 计算到期日与当前日差值 | ≥ 30 天 | 触发轮换流程 |
| 证书吊销状态 | 检查 CRL/OCSP | 未吊销 | 紧急下线 |
| 私钥保护 | 检查文件权限/HSM 使用 | 600 或 HSM 保护 | 修复权限 |
| 轮换记录 | 审计日志 | 每次轮换有记录 | 补充记录 |
注意：基线不是一成不变的。比如 2024 年之后，SHA-1 签名的证书基本被主流浏览器封杀了。你的基线得跟着行业走。我每季度会 review 一次基线，看看有没有新的安全公告需要纳入。
好了，这三步走完，你手里就有了：一份清晰的审计范围、一张完整的资产清单、一套可执行的合规基线。接下来，才是真正的审计执行阶段。
嗯，说到执行，我顺便提一句。很多团队在准备阶段花的时间不够，结果审计过程中反复返工。我个人经验，准备阶段至少占整个审计周期的 40%。别急，磨刀不误砍柴工。
这张图把审计准备的三个核心步骤串起来了。你从顶层开始，一步步往下走，最后输出一份可执行的审计计划。我个人习惯把这个图贴在项目文档首页，每次开会都指着它说：“我们到哪一步了？”