第四节：等保安全建设（技术篇）——五横三纵的实战布局
好，咱们进入正题。等保技术建设虽然项目多，但并非无章可循。概括来说，就是围绕五个层次展开：网络、主机、应用、数据、运维管理。这五块东西，说白了，构成了等保2.0技术要求的骨架。
我这些年做测评，见过不少单位在这几个方向上反复踩坑。今天咱们就一个点一个点地拆开讲，顺便聊聊我踩过的坑。
4.1 网络安全建设
网络安全这块，主要围绕着边界防护和访问控制这两个词。
边界防护：防火墙+入侵防御(IPS)是标配。你想想看，等保三级要求在内网和外网之间部署访问控制设备。很多单位以为放一台防火墙就完事了。但我在项目里遇到过，防火墙规则放得跟渔网一样，全通。安全等于零。
小技巧：我个人的习惯，先做最小化策略设计。默认拒绝出/入，只开放业务必须端口。然后每季度review一次规则。
访问控制：光有防火墙还不够，还要做区域隔离。比如把服务器区、办公区、隔离区(DMZ)用VLAN切开。
这里有个等保三级常见项——网络审计。你不仅要记录防火墙日志，还要有统一的日志审计平台。我曾经见过一家单位，防火墙日志只保留3天，被审计问住了。至少应保留6个月，这是最低线。
| 安全域 | 等保二级要求 | 等保三级要求 |
|---|---|---|
| 边界防火墙 | 部署访问控制设备 | 双机热备 + 入侵防御 |
| 区域隔离 | VLAN划分 | VLAN + 防火墙策略+最小权限 |
| 网络审计 | 设备日志留3个月 | 统一日志审计平台+6个月留存 |
关键点：等保三级网络安全必须实现边界完整性和访问控制矩阵。不能只靠网络设备本身自带日志。
4.2 主机安全建设
主机安全，说白了就是管好你的服务器和终端。
身份鉴别：口令策略要强。我很多次帮客户整改，第一件事就是看服务器的密码。结果经常发现有admin/admin、root/123456这样的。你想想看，等保三级对主机身份鉴别的强度要求写得很清楚——
- 密码长度不小于8位
- 复杂度要求（大写、小写、数字、特殊字符中至少三种）
- 定期更换（90天）
- 登录失败锁定（比如5次锁定15分钟）
访问控制：权限最小化。简单来说，就是普通用户不要给root权限。而且，一定要禁用root直接SSH登录。
避坑指南：我曾经帮一家金融客户做主机合规，他们统一用sudo提权管理，但/etc/sudoers文件配得特别松——运维组所有人都有ALL=(ALL) ALL权限。这等于形同虚设。正确的做法是按角色拆成不同的sudo命令白名单。
入侵防范：主机层面至少要有防病毒和入侵检测(如OSSEC / Wazuh)。Linux服务器不能裸奔，我见过很多用纯容器运维的，连个防病毒都没有。等保三级明确要求——
- 安装防恶意代码软件
- 主机防火墙（iptables / firewalld）
- 文件完整性监控（AIDE / Tripwire）
安全审计：启用系统审计（比如auditd）。记录所有用户登录、特权命令、关键配置文件修改。
4.3 应用安全建设
应用层是攻击者最喜欢下手的。等保对应用安全的要求集中在身份鉴别、访问控制、安全审计、通信完整性这几个点。
身份鉴别和访问控制：强制采用双因素认证。登录密码+动态口令/CA证书。举个例子——
# 一个典型的Web应用认证配置检查点（等保三级）
1. 登录失败锁定（阈值3-5次）
2. 会话超时（不活动15分钟自动注销）
3. 唯一用户标识（不可重复用户名）
4. 资源访问控制矩阵（基于RBAC）安全审计：应用程序自身的日志必须覆盖用户注册、登录、数据查看、修改、删除等所有关键操作。嗯，这里要注意：审计日志不能由普通管理员随意删除。
通信完整性：应用层通信必须使用加密协议（HTTPS / TLS 1.2+）。我遇到过很多单位，对外门户用HTTPS，但内部接口走明文HTTP，这是很大的隐患。等保三级要求所有敏感数据传输必须加密。
4.4 数据安全建设
数据安全是《数据安全法》和等保的交汇点。技术层面主要关注数据分类分级、数据备份恢复、数据脱敏。
数据分类分级：根据数据重要程度划分核心数据、重要数据、一般数据。这不仅是管理，更是技术的基础。比如，等保三级的核心数据必须采用加密存储和严格访问控制。
数据备份恢复：等保三级要求——
| 备份策略 | 全量+每日增量 |
| 备份频率 | 至少每天一次 |
| 恢复演练 | 至少每半年一次 |
| 备份介质 | 本地+异地（同城或跨省） |
数据脱敏：生产环境的数据拿到开发或测试环境用，必须脱敏。个人习惯，我推荐使用动态脱敏工具，而非静态脱敏表，动态脱敏不改变源库，更安全。
个人经验：我在去年帮一家电商做数据合规，他们的DBA从生产库复制全量数据到测试库，连用户手机号、身份证都是明文。后来我让他们在mysqldump导出时加上脱敏插件，问题解决了。
4.5 安全运维管理
技术落地离不开管理。等保安全运维管理技术层面，关键在运维审计（堡垒机）、权限分离和远程安全接入。
运维审计：堡垒机。这是等保三级的标配。任何人运维服务器都必须通过堡垒机，记录所有字符和图形会话。我记得有一次检查，对方说我们有堡垒机。我进去一看，配置打钩，但日志只保留了一个月，而且未开启命令告警。嗯，如果你配置了堡垒机，日志至少要保留6个月，并设置高危命令（rm -rf /、shutdown等）的实时告警。
权限分离：三权分立——系统管理员、安全管理员、审计管理员。技术层面要保证审计员不能修改系统配置，系统管理员不能删除审计日志。
远程安全接入：通过VPN或加密隧道接入内网。现在很多单位用了零信任方案，这是趋势。等保三级至少要求建立远程访问控制措施。
# 运维准入技术控制点（简例）
堡垒机策略：
- 开放时间受控（9:00-18:00，紧急审批除外）
- 多因素认证（密码+动态令牌）
- 会话回放+命令记录+文件传输审计
- 重要命令二次审批（如rm -rf）总结一下：等保安全建设的技术篇，就是一张网。网络安全做边界、主机安全做加固、应用安全做认证、数据安全做备份、运维管理做审计。五个层面缺一不可。