堡垒机上线后生产 MySQL 仍可被误操作，根因是运维账号收口不彻底、跳板机白名单遗漏、DB 账号直连未切。
服务器调整 tcp_tw_reuse 与 netdev_max_backlog 后出现 TCP 性能断崖。根因是参数组合在高并发场景下相互冲突，回退误配项并逐项压测后恢复。
堡垒机上线后发现仍有数十台核心服务器允许 root 直登 + 免密跳板，溯源发现老跳板机 + 历史脚本 + 特权账号基线缺失三重失控；按隔离→清免密→建堡垒机策略→全量接管→审计落地上线门禁收口。
装机镜像驱动分层缺失致异构机型网卡丢失，批量重装后无法入域上线。
内网 LLMNR/NBT-NS 投毒配合 NTLM 中继，域管会话被窃后横向提权；关闭广播名解析并强制 SMB 签名收口。
生产服务变更靠口头发版易漏验，把预检、灰度、回滚做成可勾选三道闸，把可发布变成可证明。
终端重启后报信任关系失败无法登域；机器账号密码不同步是根因，Reset-ComputerMachinePassword 与改计算机名切记后的再加域流程收口。
机房搬迁割接后 A 访 B 通、B 回 A 不通，根因是静态路由与回程策略路由未同步导致非对称路径
把暴露面收敛拆成资产盘点、端口收敛、身份凭据、云侧边界、持续扫描五步 Checklist，避免公网裸奔与密钥外泄再发生。
命名空间 default-deny 一开、白名单漏写，集群内 HTTP 全断；靠同源测试与事件日志定位，5 分钟回退止血。