简介一份Word文档系统梳理了等保2.0二级与三级场景下的拓扑图绘制思路及安全设备选型清单面向等保合规规划人员、安全工程师和企业IT运维人员可直接用于等保建设方案设计参考。文档内容按二级基础版、三级基础版、三级增强版和三级豪华版四个层级分别展开逐项说明下一代防火墙、日志审计系统、数据库审计、堡垒机、漏洞扫描、上网行为管理、Web应用防火墙、态势感知等设备的必配与选配关系同时给出安全区域边界、通信网络、安全计算环境等位置的部署建议能够帮助读者快速理解不同等级下的安全组件组合与拓扑结构要点。资源包整体为1个Word文档容量约181KB轻量便携便于对照整改或嵌入项目文档。目前已有2232人学习浏览对正在准备等保测评、规划安全设备采购或完善网络拓扑的读者具有直接参考价值。1. 等保2.0的二级和三级真正难的不是测评而是这两件事接手过等保2.0项目的人基本都有同感真正卡住进度的不是写报告而是两个看起来很简单的问题——拓扑图怎么画才符合要求、安全设备到底要买哪些。二级和三级虽然都在等保2.0的框架内但控制项数量、测评力度、必配设备差得不是一星半点。拿一张二级的拓扑图直接套三级去答辩测评员一眼就能看出没做过功课。反过来按三级的标准给二级系统配设备预算翻一倍还未必加分。这篇文章我就按自己做过多个二级、三级系统的经验把设备清单怎么定、拓扑图怎么画、哪些坑必须绕开一次说清楚。2. 二级和三级差的不只是分数控制项差异是设备选型的底层依据2.1 等保2.0技术要求框架拓扑图和设备清单的源头是这五个层面等保2.0把安全要求分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心这五个技术层面加上安全管理部分。你画拓扑图时不需要把所有层面都画上去但设备选型却要逐项对照因为每一类安全设备背后都对应着一组控制项。对你画图和买设备影响最大的是其中三个层面安全区域边界负责网络进出口的防护和访问控制安全计算环境负责服务器、终端、应用系统本身的安全安全管理中心则管着日志收集、集中监控和运维审计。很多刚开始做等保的人以为买几台防火墙就能过看过等保2.0的控制项表就知道设备清单远不是防火墙一个品类能解决的。这里有个容易混淆的点安全物理环境的机房监控、门禁、防雷接地这些要求并不需要反映在逻辑拓扑图里但要在系统描述文档里说明。你在画拓扑图之前先把这五个层面过一遍哪些是物理措施、哪些是技术设备、哪些是管理制度分清楚再动手否则一边画图一边补设备改来改去特别浪费时间。2.2 二级和三级在关键控制项上的硬差异一张表看清边界二级系统和三级系统最核心的差异集中在身份鉴别、入侵防范、集中管控和恶意代码防范这几个方面。你可以把等保2.0的控制项要求当成一把尺子二级和三级就是两把不同精度的尺子。以身份鉴别为例二级要求对登录用户进行身份标识和鉴别采用口令、密码技术、生物技术等一种或组合即可三级则明确要求两种或两种以上组合的鉴别技术通常就是“口令动态令牌”或“口令数字证书”。这一条就直接决定了你有没有必要部署动态令牌网关或CA系统。入侵防范的差异更典型二级只要求遵循最小安装原则、关闭不需要的组件和端口三级则要求“能够检测入侵事件”这就意味着必须有IDS或带有IPS模块的防火墙设备不能光靠ACL过滤。还有安全管理中心三级增加了集中管控的要求需要把所有安全设备和主机的安全策略、日志统一收集分析而二级没有这么强的硬性要求。对比下来可以建立一个大致印象三级的必配设备里面入侵检测类、集中审计类、双因素认证类的占比显著提升而二级更多是“基础边界基础审计”的组合。下面这张表可以直接用来做差距分析。控制项二级要求典型三级要求典型对应设备或措施身份鉴别口令或一种鉴别技术两种及以上组合鉴别双因素动态令牌、CA、堡垒机访问控制根据安全策略控制访问对主体客体设置访问控制策略防火墙ACL、堡垒机安全审计审计记录覆盖重要用户行为审计进程保护、防中断、集中审计日志审计系统入侵防范最小安装、关闭无关端口能检测入侵行为并报警IDS/IPS、带IPS的防火墙恶意代码防范安装防恶意代码软件统一管理防恶意代码软件网络防病毒系统集中管控未明确强制统一采集、统一监控、统一审计安全管理平台2.3 从控制项推导设备清单的方法别让销售清单替你决定很多团队选安全设备的方式是找几个厂商各报一套清单然后照着差不多的方案买。这种做法不能说完全错但很容易买多或者买漏。我做项目时的习惯是先拿测评机构对着等保2.0标准整理的控制项检查表逐条标注“现状是否满足”“用什么设备或措施来满足”“上一套方案里有没有这类设备”最后汇总出来的才是真正需要的设备清单。原理很简单每个控制项都是测评员打分的依据你买设备不是为了好看是为了让每个控制项拿到“符合”而不是“不符合”。比如安全计算环境里的安全审计要求如果没有日志审计系统测评员就会在审计记录项上判不符合哪怕你防火墙日志存了三年也没用因为防火墙日志不等于全系统审计日志。实操上我一般分三步走第一步把系统定级结果二级或三级对应的控制项表拿全第二步逐项判断是纯管理措施如安全管理制度、纯物理措施如机房门禁、还是需要技术设备支撑第三步把需要技术设备的控制项合并同类项比如“边界防护”“访问控制”都可以由防火墙承担但“入侵防范”需要额外的检测能力。合并之后剩下的设备类别数量通常就在5到8类左右这比厂商给你的动辄十几类的方案精简得多。3. 设备清单怎么定三级买哪些、二级砍哪些、钱花在哪3.1 三级系统的设备清单六个“基本盘”和两个“视情况”三级系统的设备清单我按“基本盘”和“视情况”两档来拆。“基本盘”是测评机构普遍看重的、缺了就大概率判不符合的类别一共六类边界防火墙、日志审计系统、堡垒机、数据库审计系统、网络防病毒系统、动态令牌或密码认证系统。边界防火墙放在互联网出口和内部重要区域边界承担访问控制和最简单的边界防护。日志审计系统旁路部署采集网络设备、安全设备、服务器、数据库的日志满足安全审计和集中管控的部分要求。堡垒机是所有运维操作的唯一入口运维人员先登录堡垒机再由堡垒机跳转到服务器满足访问控制和身份鉴别。数据库审计系统在核心业务区旁路镜像数据库流量对SQL操作做审计。网络防病毒系统覆盖服务器和终端。动态令牌做双因素认证。“视情况”的类别要看业务形态有对外Web站点基本要加Web应用防火墙有大量用户上网行为就要考虑上网行为管理系统系统规模大、资产数量多态势感知平台会成为加分项但计入成本时要清楚它主要用来满足集中管控的“统一监控”要求如果日志审计系统已经能集中收集日志态势感知可以往后放。注意一点三级系统对数据库审计的要求不是明文强制但测评中一旦涉及重要数据审计范围不够就容易扣分。我经手的三级系统里只要核心业务区有独立数据库的无一例外都配了数据库审计。这是行业里的共识做法不是标准原文的白纸黑字但“买方”实践中认可度很高。3.2 二级系统的设备清单砍设备但不砍控制项二级系统做设备清单最忌讳的是直接照搬三级方案。二级的硬性要求比三级低了一个档位设备配到位的标准是“该有的控制项都有”而不是“和三级一样全”。二级系统的基本盘其实只有三个边界防火墙、日志审计系统、网络防病毒系统。边界防火墙承担访问控制和边界防护日志审计系统承担安全审计防病毒承担恶意代码防范。这三个类别能覆盖二级安全区域边界和安全计算环境的核心技术控制项预算紧张时这套组合勉强能撑起一个二级系统的测评。剩下两个类别要看具体条件来说。堡垒机在二级里不是强制设备但如果服务器数量超过十台、有多人运维我强烈建议配一台理由很实际二级的身份鉴别和访问控制要求同样存在运维人员直接拿管理账号连服务器登录过程没有统一审计安全审计项会被质疑。数据库审计的优先级也取决于业务系统里有敏感数据且数据库是集中部署的就值得加一台库少、只做简单存储用日志审计系统采集数据库日志也能顶一部分。二级的边界防火墙尽量不要用纯ACL的老式防火墙。二级安全区域边界里的入侵防范虽然没有三级那么严格但测评时一旦检查边界处的入侵行为检测能力老式防火墙就露馅了。选择方式也很简单选带IPS功能模块的下一代防火墙不开也没关系至少测评时能从界面看到检测能力配置项。3.3 部署形态和许可证口径硬件、虚拟化、云组件的差异设备清单不等于一堆硬件设备清单。现在的部署形态至少要考虑三种传统机房的硬件设备、虚拟化平台里的虚拟安全设备、云环境里的云安全组件。在传统物理机房里边界防火墙和堡垒机这类承担关键路径的设备我用硬件形态稳定性好故障时好排查。日志审计、数据库审计这类旁路设备虚拟化部署完全够用还省机柜空间和功耗。如果系统整体跑在虚拟化平台上防火墙和堡垒机也可以做成虚拟化形态但要注意虚拟化防火墙的吞吐能力和物理防火墙有差距核心业务流量很大时谨慎选择。云上的定级对象逻辑不同。比如系统部署在政务云或公有云上云平台侧的安全物理环境、部分通信网络安全由云服务商负责你自己负责的部分更多落在安全区域边界和安全计算环境。这个场景下云防火墙、云日志服务、云堡垒机都是常见形态按使用量计费的许可证口径和传统买断制差别很大做预算时别用传统硬件的单价去参考。另外提醒一句和钱有关的事安全设备的“功能模块”和“型号授权”经常是两个报价口径。一台防火墙基础型号一个价开IPS模块又是一个价日志审计的“资产管理数”直接决定许可证价格支持20个资产和200个资产完全是两个档位。做预算前把资产清单数清楚服务器几台、网络设备几台、安全设备几台、数据库实例几个这些都是日志审计、堡垒机、防病毒按点计费的依据。4. 拓扑图画法拆解先分区、再连线、后标注4.1 安全区域划分没有区域边界设备就没有位置可放画拓扑图第一步不是拖设备图标而是先画安全区域。等保2.0的核心思路之一就是“分区域防护”——不把网络当成一个平面而是划分成若干安全域每个域都有自己的边界防护策略。一个典型的二级或三级系统逻辑拓扑至少要划分出五个安全区域互联网边界区、DMZ区、核心业务区、运维管理区、安全管理区。互联网边界区放出口路由器和边界防火墙DMZ区放面向外部服务的Web服务器、接口网关核心业务区放应用服务器和数据库运维管理区放堡垒机、运维终端安全管理区放日志审计系统、集中管控平台。区域之间用虚线或不同底色区分边界上用带标签的线标明“防火墙隔离”“VLAN隔离”“ACL控制”这样测评员看拓扑图时能直接判断边界防护措施是否覆盖到位。二级系统如果规模小运维管理区和安全管理区可以合并画成一个管理区但三级系统我建议一定分开因为集中管控的控制项要求单独体现。用表格把区域和承载内容固定下来再开始画图能减少返工。安全区域承载资产示例边界措施示例互联网边界区接入路由器、边界防火墙防火墙串联默认拒绝DMZ区Web服务器、接口服务WAF或防火墙策略隔离核心业务区应用服务器、数据库防火墙双向ACL、数据库审计运维管理区堡垒机、管终端独立VLAN、堡垒机接入安全管理区日志审计、集中管控管理网与其他区域分离4.2 设备连线和流量走向串联与旁路不能画反设备连线是拓扑图里最容易被挑出毛病的地方。串联设计的核心是业务流量必须要经过防火墙或WAF旁路设计的核心是审计设备只接镜像流量不能串进业务链路。边界防火墙一定是串联在互联网出口和内部网络之间图上要画成“进出口流量全部经过防火墙”的走向。很多不专业的图把防火墙画在核心交换机旁边只连一根线到交换机看起来是连接了但实际上流量根本不经过它这种图画了等于白画。DMZ区的Web服务器如果前面有WAFWAF也要画成串联形态外部流量先到WAF再到Web服务器再到应用和数据库。日志审计、数据库审计这类旁路设备连接方式是从交换机镜像口接一根线出来画成“旁路监听”的样式不要把它们画在业务流量的路径中间。如果把它们串进业务链路反而会新增故障点而且测评员会质疑设备部署的合理性。连线上要额外标注清楚链路类型实线表示业务数据流虚线表示管理控制或日志收集流。堡垒机的位置比较特殊运维流量经过堡垒机但业务流量不经过。正确的画法是运维终端连接到堡垒机所在的管理区堡垒机再连接到核心业务区的服务器管理口或SSH端口。图上最好用一条单独的虚线把运维链路标注出来并写明“所有运维操作经堡垒机跳转”。4.3 画图工具的实操步骤Visio、draw.io和图层习惯拓扑图用什么工具画不是重点画完能不能让测评员看懂才是重点。我习惯用Visio因为它自带的网络拓扑形状库比较全画出来排版整齐。没有Visio的情况下draw.io免费版也能完成同样的工作形状库虽然要手动加载但支持的图元基本覆盖防火墙、路由器、服务器、交换机这些常见设备。画图时我一般按这样的步骤来。第一步新建Visio的“网络拓扑图”模板先拖入区域色块把五个安全区域的框画出来。第二步在每个区域里按照“边界设备在最外侧、服务器和数据库靠内侧”的逻辑放设备形状设备名称用“FW-01”“LOG-01”“堡垒机”这种格式别只用品牌型号因为测评员看的是角色不是厂商。第三步用连接线工具把设备连起来串联的线从防火墙两端接口连出旁路的线从交换机镜像口垂直引出。第四步在图形下方加控制项标注比如防火墙旁边写上“边界防护、访问控制、入侵防范”。最后导出成PDF或高清PNG在正式文档里引用。draw.io里的操作逻辑差不多但要注意图表尺寸设置默认画布太小画到一半放不下设备时就只能整体缩放字也跟着变小。建议开始画之前先把画布调整为A3横向尺寸网格打开设备图标统一使用“网络设备”形状库的样式不要混用不同样式库的图标。另外养成一个习惯每一版拓扑图都保存一个源文件版本Visio存.vsdxdraw.io存.xml导出的图片文件只做交付用。原因很现实等保整改通常会持续两三轮每一轮都要改拓扑图没有源文件就只能整张重画。5. 避坑指南拓扑图里最常见的5个翻车点5.1 防火墙画在核心交换机内侧边界防护形同虚设现象拓扑图上边界防火墙没有画在互联网出口和内部网络的唯一路径上而是画在核心交换机旁边看起来和交换机直连但进出的业务流量在图上就有了一条完全绕过防火墙的路径。原因画图的人把防火墙当普通网络设备习惯性把安全设备往核心交换机边上一放表示“网络里有防火墙”却没有考虑流量路径的逻辑关系。解决确认防火墙是不是串接在出口链路上——外部进来的流量全都要经过防火墙才能到达内部网络。如果是双机部署画成两条链路在防火墙之间做HA如果有多条ISP出口每条出口链路都画成先到防火墙再到内部。拓扑图里不允许出现任何一条“直通”路径绕过防火墙。5.2 漏画无线网络和运维终端审计范围不完整现象拓扑图画了互联网边界、核心业务区、DMZ区但会议室和办公区的无线接入点没画运维人员的操作终端也没画。测评员一对照资产清单发现拓扑图和实际网络设备对应不上。原因等保2.0要求覆盖所有联网设备和终端无线接入点是边界的一部分运维终端是安全审计和访问控制作用的对象这些资产如果不进拓扑图资产管理项就不完整。解决把办公网无线路由器或无线控制器单独画成一个“办公接入区”标注边界防护措施运维终端在拓扑图里至少用一个终端图标加文字说明表达清楚说明它归属运维管理区并受堡垒机管控。5.3 日志审计只接服务器没接网络设备安全审计项被扣分现象日志审计系统在拓扑图里只连着几台服务器路由器、交换机、防火墙的日志都没接。自认为日志审计很齐全结果测评时发现“审计范围覆盖网络设备”这一条不满足。原因很多人理解“日志审计”就是收集业务系统日志忽略了等保2.0里安全审计要求覆盖网络设备、安全设备、操作系统、数据库等所有重要资产。解决日志审计的采集范围在拓扑图里用虚线明确延伸到核心交换机、路由器、防火墙、堡垒机并注明通过syslog方式接入。如果日志审计系统支持异构设备日志解析在图中标注支持的范围测评时能直接作为证明。5.4 把态势感知当必买设备预算翻倍还影响项目进度现象厂商方案里报了态势感知平台说三级系统“必须有”于是采购流程、部署周期、数据接入调试都按态势感知来做结果项目迟迟不能上线测评时间一拖再拖。原因部分厂商把态势感知包装成等保三级的标准配置来引导采购。实际上等保2.0控制项里没有“态势感知”这个设备名称与之最接近的是安全管理中心的“集中管控”要求——统一采集安全日志、统一监控、统一审计。这个要求用日志审计系统配合一套集中管理平台就能满足。解决如果预算充足态势感知可以作为集中管控的增强手段预算有限时把日志审计系统作为集中管控的主体。在做设备清单时优先判断控制项而不是优先对接厂商方案。运营成本也要考虑——态势感知需要人手持续维护规则和分析告警团队没有专职安全运营岗位时不建议为测评硬上。5.5 只画了业务拓扑没有管理拓扑管理网和业务网混在一起现象整张拓扑图只有业务网段所有设备的管理IP和业务IP混画在同一个网段范围管理流量和业务流量没有分开安全管理中心的要求无法体现。原因很多网络交付时的原拓扑图就没有区分管理平面和数据平面做等保时直接把原图拿来改忘了等保2.0对安全管理中心和运维管理区的独立性有要求。解决在拓扑图下方或右侧增加一个“管理网说明”用独立色块画出安全管理区和运维管理区标注交换管理VLAN的编号。管理网和业务网有物理或逻辑隔离即可图中用不同颜色线型表达出来是最直观的方式。6. 把拓扑图改造成控制项映射图让测评沟通效率翻倍一个值得养成的习惯交付拓扑图时不要只给一张纯网络拓扑而是给它加一个“控制项映射”维度。具体做法是在每个安全设备的图形旁边加一个标注框列出该设备承担了哪些控制项。防火墙旁边标注“边界防护、访问控制、入侵防范”堡垒机旁边标注“身份鉴别、访问控制、安全审计”日志审计旁边标注“安全审计、集中管控”。这样做之后测评员对着控制项检查表逐条核验时速度会快很多沟通成本也相应降低。映射关系的整理思路是从控制项反向找设备。你可以先列出这个系统涉及的所有技术类控制项编号例如“8.1.1身份鉴别”“8.1.3安全审计”然后在每个编号后面填上对应的设备名称。交付时把这张表附在拓扑图后面格式就是一个三列的小表控制项编号、控制项名称、对应设备。控制项编号控制项名称对应设备安全区域边界-边界防护跨越边界的访问流经边界设备边界防火墙安全区域边界-入侵防范检测边界入侵行为防火墙IPS模块安全计算环境-身份鉴别双因素鉴别堡垒机动态令牌安全计算环境-安全审计审计记录并保护日志审计系统安全管理中心-集中管控统一收集审计数据日志审计系统这样做有一个直接的好处当测评员提出某项不满足时你不需要再重新翻整张图直接看映射表就能定位是哪台设备、哪个模块缺了。我自己吃过这个亏第一套三级系统交付时只有纯拓扑图测评整改时逐条核对控制项来来回回翻图花了大量时间。做成映射表之后第二轮整改所有控制项的对应关系一目了然整改方案的出具速度快了一倍。还有一个进阶做法把映射表和资产清单绑在一起。安全设备的型号、IP地址、部署位置、管理VLAN写进资产表控制项对照表里直接引用资产编号例如“FW-01承担边界防护、访问控制、入侵防范”。这样测评员能从设备编号追溯到实物不会出现图上设备与实际设备对不上的情况。最后说一个我自己的习惯每次做等保项目时都会画三个视图——物理拓扑、逻辑拓扑、控制项映射表。物理拓扑用来核对资产逻辑拓扑用来表达流量和边界映射表用来对接测评。三个视图配合使用才能把等保2.0的合规要求讲清楚也才能让“买设备”和“画拓扑”这两件事真正闭环。希望这些经验能帮你在做二级或三级系统时少走我当年走过的弯路。本文还有配套的精品资源点击获取
