等保 2.0 网络合规
把等保 2.0（GB/T 22239-2019）三级要求里与网络相关的条款，变成可逐条核对、可打分、可整改的清单。本技能聚焦安全通信网络 + 安全区域边界 + 安全管理中心（集中管控）三大网络层大类，附控制项清单 CSV、自评打分脚本与整改模板。
一、核心原理
等保 2.0 用「一个中心、三重防护」概括技术体系：安全管理中心 + 安全通信网络 / 安全区域边界 / 安全计算环境。网络层合规的关键是：通信要加密完整、边界要防得住、日志要集中留得住、设备要集中管得住。
flowchart LR
subgraph 三重防护
A[安全通信网络<br/>传输加密+完整性]
B[安全区域边界<br/>访问控制+入侵防范+审计]
C[安全计算环境<br/>设备鉴别+权限+审计]
end
subgraph 一个中心
M[安全管理中心<br/>系统管理+审计管理+集中管控]
end
A --> M
B --> M
C --> M
- 通信传输（三级）：通信数据需保证完整性（校验/密码技术）与保密性（密码技术）。
- 区域边界（三级）：边界防护、访问控制（最小权限/默认拒绝）、入侵防范、恶意代码防范、安全审计。
- 集中管控：分散设备统一管理、统一审计、策略集中下发。
二、测评工作流（参考架构）
flowchart TB
S[1. 定级与范围确认] --> I[2. 控制项清单建立<br/>dengbao-level3-controls.csv]
I --> SC[3. 自评打分<br/>dengbao_selfscore.py]
SC --> G[4. 差距分析<br/>不符合/部分符合项]
G --> R[5. 整改<br/>加密/边界/审计/集中管控]
R --> V[6. 复评与证据归档]
配套 ASCII 三级网络层测评项速览（文档用）：
安全通信网络 (Level 3)
通信传输-完整性 密码/校验技术保证完整性
通信传输-保密性 密码技术保证保密性
可信验证 基于可信根验证设备
安全区域边界 (Level 3)
边界防护 / 访问控制 / 入侵防范 / 恶意代码防范 / 安全审计
安全管理中心 (Level 3)
系统管理 / 审计管理 / 集中管控
三、关键参数 / 决策表
| 测评项 | 三级要求要点 | 常见错误 |
|---|---|---|
| 通信传输-完整性 | 校验技术或密码技术保证 | 明文 HTTP/Telnet 传输管理数据 |
| 通信传输-保密性 | 密码技术（IPsec/TLS/SSH） | 用明文协议传敏感数据 |
| 边界防护 | 部署防火墙/网闸实现区域隔离 | 边界无防护或防护形同虚设 |
| 访问控制 | 最小权限 + 默认拒绝 | 边界放 any-any |
| 入侵防范 | 部署 IPS/IDS 并阻断 | 只有检测无阻断 |
| 安全审计 | 边界审计集中留存 ≥6 个月 | 只本地留存、无集中 |
| 集中管控 | 分散设备统一管理/审计 | 设备各自为政 |
| 身份鉴别 | 设备管理强鉴别（双因素或强口令） | 默认口令、Telnet 管理 |
| 配置备份 | 关键设备配置备份与恢复 | 无备份或未演练 |
> 三级要求与测评项以 GB/T 22239-2019 及测评机构口径为准；自评打分用 scripts/dengbao_selfscore.py。
四、分步 SOP
- 定级与范围：确认系统定级（三级）与测评边界、涉及的网络设备清单。
- 建立控制项清单：按大类整理测评项（见
assets/dengbao-level3-controls.csv），标注权重。 - 现状自评：逐项标注「符合/部分符合/不符合/不适用」并收集证据（截图/配置/记录）。
- 打分：跑
dengbao_selfscore.py计算符合率与差距。 - 差距分析：定位「不符合/部分符合」项，逐条制定整改动作。
- 整改：落地传输加密、边界防护、审计留存、集中管控（配置见第五节）。
- 复评与归档：复评打分、形成证据链，输出整改前后对比。
五、真实配置示例
华为 VRP：通信保密 + 集中审计（对应通信传输/安全审计）
# 管理面强制 SSH（通信保密）
stelnet server enable
undo telnet server enable
# 集中审计：日志送集中平台（info-center）
info-center enable
info-center loghost 10.1.99.10
info-center source default channel 2 log level warning
# 配置加密存储（示例）
cipher-suite aes-256-gcm
思科 IOS-XE：AAA 强鉴别 + 边界 ACL + 日志集中
! 身份鉴别：本地强口令 + 认证
username admin privilege 15 secret 0 <STRONG_SECRET>
aaa new-model
aaa authentication login default local
! 边界访问控制（默认拒绝 + 最小权限）
access-list 100 permit tcp any host 10.1.10.10 eq 443
access-list 100 deny ip any any log
! 审计留存：syslog 送集中平台
logging host 10.1.99.10
logging trap warnings
华为 USG：边界防护 + 入侵防范
# 边界部署安全策略，默认拒绝
security-policy
rule name web-access
source-zone untrust
destination-zone dmz
service http
service https
action permit
rule name default-deny
action deny
# 入侵防范（IPS 特征库）
ips enable
> 完整整改模板见 assets/dengbao-remediation-template.txt，逐条对照见 references/dengbao-configs.md。
六、验证方法
# 自评打分
python dengbao_selfscore.py -f dengbao-level3-controls.csv
# 审计留存验证
display info-center
show logging
| 验证项 | 达标线 | 采集方式 |
|---|---|---|
| 自评符合率 | ≥90%（符合）/ ≥80%（基本符合） | dengbao_selfscore.py |
| 通信加密 | 管理/敏感流量无明文 | 抓包 + 配置核对 |
| 边界默认拒绝 | 末尾 deny any | 策略导出 |
| 审计留存 | 集中平台可查 ≥6 个月 | 日志平台 |
| 配置备份 | 可恢复且演练过 | 备份文件 + 演练记录 |
七、常见故障排查
| 现象 | 根因方向 | 首要动作 |
|---|---|---|
| 自评分低（<80） | 多项「不符合」未整改 | 按差距清单逐项整改 |
| 审计留存不达标 | 仅本地留存或时长不足 | 接集中平台 + 扩容存储 |
| 边界测出 any-any | 历史过宽规则 | 收敛到最小权限 |
| 通信加密漏项 | 部分管理/同步链路仍明文 | 全链路排查改加密 |
| 集中管控缺位 | 设备分散、无统一平台 | 建统一网管/审计平台 |
八、输出规范
交付时应产出：定级与范围说明、控制项清单（CSV）、自评打分报告（含符合率与分级）、差距分析、整改动作清单、整改前后对比、证据材料清单。
九、边界与风险
- 条款解读以 GB/T 22239-2019 官方标准与测评机构要求为准，不确定处标注「需咨询测评机构」。
- 不承诺「保证过等保」，本技能只做现状对照、自评打分与整改建议。
- 整改不能牺牲业务可用性，加密/加固需配套变更与回退方案。
- 自评分与官方测评口径可能有差异，仅作内部差距管理用。
配套资源
- 控制项手册：
references/dengbao-controls.md - 合规配置对照：
references/dengbao-configs.md - 测评整改案例库：
references/dengbao-troubleshooting.md - 三级控制项清单：
assets/dengbao-level3-controls.csv - 整改模板：
assets/dengbao-remediation-template.txt - 脚本：
scripts/dengbao_selfscore.py（等保合规自评打分器） - 配套检查清单：《等保 2.0 网络层合规对照清单》
