等保 2.0 整改与测评验收四大模块整改清单 测评现场 6 类问题怎么答去年陪一家制造企业走完等保三级测评印象最深的是测评师在机房蹲了四十分钟只做一件事拿拓扑图对着设备一台一台核。图上画了一台下一代防火墙他说这台型号我看下序列号结果那台设备是三年前退役的图没更新。这一项直接记了不符合。不是技术没做是证明不了做过。这篇讲的就是这件事整改动作怎么落、怎么留证、测评现场怎么配合。定级、备案、差距分析那套在等保 2.0 定级备案全流程里写过这里从备案完了开始改接下去。一、先分清三件事整改、测评、复测各自在干什么很多人把这三件事混成一件事结果排期全乱。阶段谁在做产出典型时长二级/三级整改你自己 集成商配置改完、制度建完、证据留好412 周测评有资质的测评机构测评报告符合/基本符合/不符合现场 25 天出报告 24 周复测同一家测评机构复测结论现场半天到 1 天三个判断能省掉大量返工整改不是把设备买齐。三级测评里技术类和管理类大概各占一半管理类那部分靠买设备一分都拿不到。见过一家企业花了两百多万上设备管理项几乎空白最后结论基本符合但整改项一堆。测评是抽样不是全量。测评师不会把你两百台服务器全查一遍一般抽 35 台代表性设备、23 个业务系统。所以没抽到的就不用管是错的——抽样是随机的你得保证每一台都过得了。复测只测不符合项。第一次不通过不丢人但复测要重新约时间、重新付费合同里能谈免费复测就谈。所以第一次现场就要把能改的当场改掉。二、网络模块测评师会拿拓扑图对着设备逐台核这是最容易翻车的模块因为它是唯一看得见摸得着的。2.1 拓扑图必须和设备对得上测评师的动作很固定打开你的拓扑图 → 找到图上的设备 → 核对型号、IP、部署位置 → 登录看配置。所以整改的第一步不是配设备是把图修对。我的做法是拓扑图上只画三类东西安全设备防火墙/IPS/WAF/审计、网络设备核心交换/汇聚、业务区域用方框表示不画到具体服务器。每台设备标注型号、管理 IP、所在机房。图上不要出现已经下线的设备。这一条听起来废话但我在三个客户那里都见过。2.2 区域划分要能说清为什么这么划等保要求划分安全区域测评师会问为什么把这几个系统放一个区区之间的访问控制依据是什么答按业务分的过不了。要能说出这个区放的是对外提供服务的系统走 DMZ这个区放的是内部办公不允许主动访问 DMZ区之间只有 443 和 3306 两个端口放通其他全 deny。2.3 访问控制策略要能导出、能看懂测评师经常要求现场导一份防火墙策略。如果你的策略是几千条、命名全是policy_001他会随机抽几条问你这条为什么放通。整改动作给策略加业务备注谁申请的、什么业务、有效期清理零命中策略。别用iptables -L -n -v -x直接看输出太乱用这个筛零包规则# 列出包计数为 0 的规则iptables按链分组 iptables -L -n -v -x | awk $10 $20 {print $NF} | sort | uniq -c | sort -rn | head -50 # nftables 环境 nft list ruleset -a | grep -B2 counter packets 0 bytes 0注意$NF是大写小写$nf在 awk 里是未定义变量什么都不输出——原文里那个命令就是这么写错的。零命中不等于可以删。有些规则是给半年一次的灾备演练留的删了出事更麻烦。我的做法是零命中 无备注 超过 180 天 → 进待删清单让业务确认后再删。2.4 边界防护要能演示三级要求入侵防范。测评师会让你演示从外网发一个攻击包看设备有没有告警。别现场第一次试。提前准备一个无害的 payload比如带union select的请求确认 WAF 能拦、能出告警、告警里能看到源 IP 和命中规则。演示时直接给他看告警列表比讲十分钟原理有用。2.5 网络模块的留证清单整改项测评师怎么查你要准备的证据区域划分看拓扑图 登录设备核最新拓扑图带版本号、日期、VLAN/安全域配置截图访问控制随机抽策略问依据策略导出文件、业务申请单、规则变更记录边界入侵防范现场发测试包看告警告警截图含时间、源 IP、规则名网络准入问非授权设备能不能接入准入系统配置、认证日志样例链路冗余看设备清单和链路图双机/双链路配置、切换测试记录三、主机与终端怎么把配了变成能证明配了这一块的坑是配置你真做了但拿不出证据。3.1 身份鉴别三个动作缺一不可三级要求里这块查三样唯一标识、复杂度策略、登录失败处理。唯一标识不能有共享账号。root 直接登录要禁止改成普通用户 sudo。复杂度长度、字符类型、更换周期、历史密码不复用。登录失败处理连续失败锁定、超时退出。测评师会现场敲命令看# 看密码策略实际生效值不是看配置文件写了什么 chage -l root grep -E ^(PASS_MAX_DAYS|PASS_MIN_LEN|PASS_MIN_DAYS) /etc/login.defs # 看是否有共享账号 / 空口令 awk -F: ($2){print $1 空口令} /etc/shadow awk -F: ($30){print $1 UID0} /etc/passwd # 登录失败锁定是否真的生效看 faillock 或 pam_tally2 的记录 faillock --user root 2/dev/null | head配置文件写了不等于生效。见过/etc/login.defs里PASS_MIN_LEN 8但 PAM 用的是pam_pwquality且minlen6实际按 6 位走。测评师一敲chage -l就露了。3.2 入侵防范补丁和恶意代码补丁不是我打了而是我能证明打了。Windows 用Get-HotFixLinux 用rpm -qa --last | head导出成表格标上评估日期。恶意代码装了杀毒/EDR 不算完要有病毒库更新记录和扫描记录。3.3 安全审计日志是重灾区三级要求日志留存不少于 6 个月而且要能追溯到人。测评师会做两件事问上个月 15 号谁登录过这台机器 → 你要能查出来看日志里有没有审计自己的操作比如auditd规则# 日志留存天数是否达标以 /var/log/messages 为例 ls -l --time-style%F /var/log/messages* # 或直接看轮转配置 grep -E rotate|maxage /etc/logrotate.conf /etc/logrotate.d/syslog # 审计规则是否覆盖关键文件 auditctl -l | grep -E passwd|shadow|sudoers # 查某天的登录记录 last -F | grep 2026-09-15审计日志单独存一份是加分项把 syslog 转发到一台独立的日志服务器或 SIEM测评师看到日志不在本机、改不掉这一项基本不会扣。日志服务器的搭建和基线核查脚本安全基线那篇里有可直接跑的版本。3.4 主机模块的留证清单整改项测评师怎么查你要准备的证据身份鉴别现场敲 chage / 看 shadow密码策略截图、锁定策略配置、无共享账号说明访问控制看 sudo 配置、目录权限sudoers 片段、关键目录权限清单入侵防范问补丁和病毒库日期补丁清单导出表格、EDR 版本与扫描记录恶意代码防范看是否有统一管控管理端截图、策略下发记录安全审计让你查某天的登录日志查询演示、日志服务器接收记录剩余信息保护问退役硬盘怎么处理硬盘销毁记录、消磁/覆写证明四、应用与数据整改动作和留证方式4.1 应用层看四件事通信加密全站 HTTPS禁止 TLS 1.0/1.1。测评师会用工具扫一下看有没有弱套件。会话管理登录后会话超时、退出即失效、Cookie 带 HttpOnly 和 Secure。输入校验这一项测评师通常不手工测而是问你上次渗透测试什么时候做的、高危修完没有。所以渗透测试报告和修复记录比什么都管用。漏洞怎么推动修复漏洞整改那篇里有一整套责任矩阵。数据完整性关键业务操作要有校验或审计不能随便改。4.2 数据层看三件事要求具体做什么怎么证明数据保密性敏感字段加密存储传输走 TLS加密字段清单、密钥管理说明数据备份本地 异地定期恢复演练备份策略、最近一次恢复演练记录个人信息保护采集有告知、访问有授权隐私政策页面、授权记录样例恢复演练记录是硬通货。测评师问备份能不能恢复你答能他接着问上次恢复是什么时候、花了多久、谁做的。答不上来这条就是不符合。4.3 应用与数据的留证清单整改项测评师怎么查你要准备的证据通信加密工具扫 TLS 配置证书列表、协议版本截图会话管理看 Cookie 属性、登录超时抓包截图、配置说明输入校验问渗透测试与修复情况渗透报告、漏洞修复记录数据备份问恢复演练备份策略、恢复演练报告个人信息看隐私政策与授权页面截图、授权流程说明五、管理制度不用写八本但要能对上条款管理类占总分的三成左右而且这部分几乎不花钱是性价比最高的整改。但别一上来写八本制度。测评师看的不是你写了几本而是条款能不能对上。5.1 一个务实的做法拿测评表的控制点当目录逐条写我们怎么做的、谁负责、多久做一次、记录在哪。写成一本《安全管理制度汇编》每条对应一个控制点编号。测评师按表查你按编号翻五分钟能对上。5.2 必须有记录的几项制度本身好写难的是记录。这几样测评师一定会要而且是抽查历史记录记录频次要求常见问题安全培训记录每年至少一次只有签到表没有培训内容和考核应急演练记录每年至少一次演练方案写得好没有演练过程记录和复盘漏洞扫描记录按制度频率只留最后一次历史缺失变更审批记录每次变更事后补签时间戳对不上第三方安全评估按合同拿不出对方的资质证明事后补签是最大的雷。测评师会看时间戳一次补三个月记录很容易被判定为制度未有效执行。六、测评前 7 天要备齐的资料这份清单按我实际交付时的顺序排缺一样都会被现场卡住。序号材料备注1定级报告、备案证明备案证明上的系统名要和测评系统一致2最新网络拓扑图带版本号和日期与设备实际一致3资产清单含 IP、系统版本、责任人、所在区域4安全管理制度汇编按控制点编号编排5人员权限清单各系统的账号与角色对应关系6日志留存证明日志服务器截图或 logrotate 配置7应急演练记录方案 过程 复盘8渗透测试/漏洞扫描报告含高危修复闭环记录9备份与恢复演练记录最近的恢复时间和耗时10第三方资质与保密协议运维外包场景必备提前 37 天把这些发给测评机构预审让他们先看文档。文档问题在预审阶段改比现场改快得多——现场改一份制度要重新走审批一天就过去了。七、测评现场四类环节怎么配合测评现场一般四个环节每个环节的考点不一样。文档审查测评师对着控制点翻材料。你要做的是有个人全程在旁边他要什么立刻能翻到。资料按清单编号装订别让他在一堆 PDF 里搜。配置核查登录设备看配置。提前把管理账号准备好别到现场发现密码在离职同事手里准备好跳板机网络要通。这一环节最容易浪费时间在连不上设备上。人员访谈会问运维、开发、管理层三类人。问题很实在比如问运维上次打补丁是什么时候、怎么评估的问开发代码上线前做不做安全测试。答不上来比答错更糟——答错说明理解有偏差答不上来说明制度没落地。访谈前给受访的人做个半小时的沟通把可能问到的问题和答案口径统一一下。这不是作假是别让老实人说这个我们没做。工具扫描测评师会带漏扫工具扫一遍。提前自己扫一遍把高危修掉。扫描时间和业务方打好招呼别扫到一半业务打电话说系统卡了。八、最容易扣分的 9 个点按我遇到的频次排从高到低拓扑图与设备不符——退役设备还在图上或者新上的设备没画日志留存不足 6 个月——尤其 Windows默认事件日志几十 MB 就覆盖了共享账号——运维图省事全用 administrator一问就露补丁记录缺失——打了补丁但没留评估和安装记录应急预案没演练——方案漂亮没有演练记录和复盘第三方管理缺失——外包运维没有保密协议、没有资质审查集中管控缺失——各系统日志各自为政没有统一审计备份没做过恢复演练——有备份文件不知道能不能恢复定级偏差——该定三级定了二级测评时被指出整个流程重来这九条里只有第 9 条是技术判断其余八条全是记录和一致性问题。也就是说大部分扣分不是能力不够是没留痕。九、不通过怎么复测结论是基本符合或不符合时流程是这样拿到测评报告看不符合项清单一般会列明条款、问题描述、整改建议按条款逐条整改每改一条留一份证据改前截图、改后截图、变更记录提交整改报告给测评机构约复测时间复测只测不符合项现场半天到一天拿到复测结论归档几个实操细节复测前把整改证据整理成一条一页测评师翻起来快你也省时间合同里如果写了免费复测记得用没写的复测一般按现场人天收费复测不是走过场改得不彻底会被要求二次复测十、写在最后等保测评这件事技术上没有特别难的东西——都是配配置、打补丁、写制度。真正难的是两件一是做了和能证明做了之间的差距。上面九条扣分项八条是证据问题。二是把整改排进业务节奏里。业务不会为了测评停所以整改只能插空做补丁在维护窗口打、策略变更走变更流程、制度评审赶在季度会之前。我的建议是先把证据清单拉出来第六节那张表看看现有材料缺哪些再倒推整改排期。这样不会出现设备都配好了、材料一份没有的局面。这套流程跑完一次第二年就是维护更新拓扑、补记录、复测。真正花时间的只有第一年。
