- 线上故障应急处置线上挂了，一群人同时动手，越弄越乱。
- 故障分级与通知每次故障都全员被叫醒，狼来了几次没人理。
- 回滚决策新版本上线后指标变差，改还是滚。
- 限流与降级流量一来就雪崩，全站都挂。
- 慢查询治理页面越用越慢，数据库CPU打满。
- 连接池与超时服务时不时报连接超时，重启就好。
- 磁盘与内存告警磁盘又满了，先删日志再说？
- 证书过期预防证书过期，全站打不开，用户看到红色警告。
- DNS与域名切换要换服务器，怕切过去打不开。
- 备份与恢复演练一直有备份，真出事发现备份是空的。
- 容量评估与扩容用户涨了，服务器撑不住才临时加。
- 监控指标设计监控一大堆指标，出问题时还是要靠人发现。
- 告警降噪一天三百条告警，全都忽略了。
- 日志规范与排查出问题查日志，发现关键的地方没打。
- 灰度发布流程一上线全量，出问题影响所有人。
- 配置管理与漂移机器上的配置改过就忘了，重建对不上。
- 容器与编排排障容器起不来，日志里只有一行看不懂的错。
- 依赖服务故障隔离第三方接口一挂，我们的页面全白。
- 事故复盘（无责）复盘会开成批斗会，下次还是同样的问题。
- 值班与交接交接就一句「没什么事」，半夜炸了。
- 云成本优化云账单每月涨，不知道钱花在哪。
- 服务依赖梳理改一个服务，不知道会牵连到谁。
- 多环境一致性测试环境好的，线上就是不行。
- 灾备与RTO/RPO领导问多久能恢复，我答不上来。
- 资产与暴露面梳理不知道我们有多少东西暴露在公网。
- 弱口令与账号治理有人还在用admin/123456，说了不改。
- 权限最小化审查大家都用管理员账号，方便。
- 密钥与凭据管理密钥写在前端代码里，还提交到了仓库。
- 依赖漏洞处理扫描出一堆CVE，不知道先修哪个。
- Web漏洞自查想自查有没有注入、XSS、SSRF这类问题。
- API鉴权设计复核接口只验了登录，没验这个人能不能看这条数据。
- 文件上传安全允许用户上传文件，什么都能传上来。
- 日志与审计出了事查不到谁在什么时候做了什么。
- 数据分级与脱敏测试环境用的就是生产数据，还有身份证号。
- 个人信息合规收集了一堆用户信息，不知道合不合规。
- 离职权限回收人走了三个月，VPN账号还能用。
- 钓鱼演练设计培训讲了没人听，想搞一次钓鱼演练。
- 安全事件应急响应怀疑被入侵了，不知道该先做什么。
- 勒索与备份策略怕被勒索，备份也在同一台机器上。
- 对象存储配置核查云存储桶可能是公开的。
- 服务器基线加固新机器装好就上线，什么都没关。
- WAF与限流策略上了WAF，还是被打。
- 供应商安全评估要接一个第三方服务，数据要给它。
- 代码安全评审代码评审只看风格，安全问题没人看。
- 渗透测试报告解读报告全是术语，老板只想知道严重不严重。
- 安全意识培训培训讲完就忘，下次还是点链接。
- 数据泄露通知准备万一泄露，对外该说什么、什么时候说。
- 安全预算与优先级预算有限，安全要做的事一大堆。
我的 DSH 实战笔记