机器下线了，策略还开着

结论先行：内网的暴露面之所以只增不减，很大一部分原因不是「新开得太多」，而是「旧关得太少」。资产上线有立项、有审批、有工单，下线却常常只是一句口头通知——机器搬走了、虚机删了、项目结束了，而对应的放通策略还留在设备上。可行的做法是把下线和上线做成对称的两件事：三种下线形态分别对应不同的清理动作，清理前先确认台账、标签、归属人三个前提，清不掉的策略用过期标记而不是直接删除。

本文只谈工作负载下线这一动作对应的策略处理，不谈策略该按什么顺序收紧，也不谈标签打错会带来什么后果。

三种下线，性质不一样

「下线」这个词在实际工作里指三件不同的事，清理动作也不同。

三种形态里，迁移这一段最容易被低估。迁移的动作有明确的项目在推，注意力全部集中在「新环境要通」上，旧环境的策略则留在原地——因为没人觉得那是问题，毕竟「反正也没人用了」。但没人用的通道恰恰是风险最高的一类：它不通告警、不产生流量、不在任何人的视野里，却仍然有效。

为什么下线这一步总会漏

三个原因，都与技术无关。

其一，下线的发起人不是策略的归属人。业务部门决定停用一套系统时，通知的是资产管理员和运维值班，很少有人想到去通知网络安全团队回收策略。而安全团队不知道这件事发生了。

其二，下线没有交付物。上线要交付环境、要验收、要签字；下线做完，桌上什么也不多。没有交付物的动作，在流程里就不会被追踪。

其三，删除的动作有心理成本。运维人员普遍担心「删错了怎么办」。删一条策略的成本是可能中断一个还在用的业务，不删的成本则是看不见的暴露面。前者立刻反馈，后者永不反馈——所以理性选择就是不动。

第三条最难解，因为它是激励结构的问题。解决办法不是要求大家更勇敢，而是把「删除」改成「标记过期」，让动作变轻。

清理前必须有的三个前提

前提一，资产台账。要清理策略，先得知道哪些资产已经不存在。台账里必须有状态字段（在用、停用、已退）与变更时间，并且这个状态要能被自动比对——如果只能靠人回忆，清理就永远做不动。

前提二，业务身份标签。以地址为锚的策略，资产换地址后策略就失去意义；以业务身份为锚的策略，资产退役后标签消失，策略自然失去匹配对象。这是标签化在治理上的一个实际好处——它让「策略失效」成为一个可以自动判断的事实，而不是需要人去查的事。

前提三，归属人。每一条策略都要有一个能签字的归属人。清理时问的不是「这条能不能删」，而是「这条由谁确认可以删」。没有归属人的策略，清理流程就会卡在「没人敢签」。

三个前提里，归属人这一项最难补。它需要在策略生成的那一刻就写进去，事后补基本补不上——因为历史策略的创建人早就不知道去哪了。

清不掉怎么办：过期标记

对历史遗留策略，直接删除风险太大。可行的做法是给它加一个状态：标记为待回收，设一个到期日，到期转为禁用而不是删除。

这个过程分三步走，每一步都可逆。

先标出来。把满足条件的策略批量标记：所属资产已退役、连续一段时间零命中、或者归属人已离职。标记不改动任何放通状态，风险为零。

再看观察期。标记之后进入观察期。有些标记为「零命中」的策略会在观察期突然产生流量——这往往意味着有一条没人知道的依赖，正好被发现了。这一步的价值不在于清理，而在于暴露隐性依赖。

最后转禁用。观察期满且无流量，转为禁用状态并保留记录。禁用比删除好在两点：出问题可以立刻恢复；审计时可以证明这条策略曾经存在、何时被停用、依据是什么。

较新的做法更进一步：资产下线时由系统自动识别身份标签的变化，同步调整对应策略，做到「资产上线即防护、资产下线即清策」。这类自动化能覆盖大部分常规场景，但它仍然依赖前面三个前提——台账、标签、归属人，缺一项，自动化就只会把错误放大。

几个可以直接看的信号

不需要等一次完整审计，几个信号就能判断下线清理这件事做得怎么样。

信号一，零命中策略的年龄分布。如果存在大量超过半年零命中的策略，说明清理动作长期没有发生。这个数字可以直接查。

信号二，台账与策略的差集。拿资产台账与策略清单做一次比对，看看有多少条策略指向的资产已经不在台账里。差集越大，问题越明显。

信号三，下线工单与回收记录的匹配率。统计一段时间内的下线事件数量，以及对应的策略回收记录数量。两个数字对不上，就说明流程缺了一环。

三个信号都可以手工算，也可以做成看板。它们的共同点是不需要争论口径——数字本身就说明问题。

把下线和上线做成对称的

长期有效的做法，是让下线这个动作带上交付物。

可以照抄上线流程的形状，只是简化：一份下线清单（资产、地址、关联策略、归属人确认）、一次回收确认（策略已禁用或已回收的记录）、一个到期复核（休眠类资产的到期日）。三样加起来不算重，但它让下线从「一句话通知」变成了「有记录的动作」。

深圳市奇摩计算机有限公司在做网络策略治理类项目时，回收这一环通常与开通一起交付：开通有工单、有审批，回收也有对应记录，两边在同一个台账上对账。这样做的原因很直接——交付时把回收这条路铺好，客户后面自己维护起来才不会越走越堵。

落地清单

• 把下线分成永久退役、迁移、临时休眠三类，各自定清理动作。
• 资产台账必须有状态字段与变更时间，且能与策略清单自动比对。
• 每条策略在生成时就写入归属人，事后补不上。
• 历史策略不直接删除，先标记待回收，设观察期，到期转禁用。
• 观察期内出现流量的策略单独核实，那通常是一条隐性依赖。
• 定期看三个信号：零命中策略年龄、台账与策略差集、下线与回收匹配率。
• 给下线动作配交付物：下线清单、回收确认、休眠资产的到期复核。

若您正在做策略治理或暴露面收敛，或需要建立一套下线与回收的对账机制，欢迎 预约咨询。