企业官网建设流程全解析

简介：面向需要落实等级保护合规建设的安全工程师、运维人员与项目负责人，这份文档围绕等保2.0二级与三级场景，梳理拓扑图的绘制思路与安全设备选型清单，帮助读者理清不同等级下边界、计算环境、管理中心各层面该配什么设备、哪些必配哪些选配。内容按二级基础版、三级基础版、三级增强版、三级豪华版四类规划设计展开，逐项说明NGFW、日志审计、数据库审计、堡垒机、漏洞扫描、态势感知、WAF等设备对应的合规要求，并点明多网架构下内外网物理隔离与网闸互通的规划要点。资源包共1个docx文件，约181KB，篇幅精炼、便于对照查阅与方案讨论。已有2237人学习下载，适合作为等保项目前期设备清单梳理与拓扑设计的参考底稿。

1. 等保2.0到底是什么：从一张让人头大的拓扑图说起

第一次接触等保2.0的人，多半是被一张拓扑图劝退的。图上密密麻麻堆着防火墙、堡垒机、日志审计、数据库审计、态势感知，箭头从外网指到内网，又从内网指到管理区，旁边还标着“必配”“选配”“必选”。很多人的第一反应是：这到底是在画网络，还是在列购物清单？

通俗地说，等保2.0就是一套给信息系统做安全分级的国家标准，它按系统一旦出事会造成多大影响，把系统分成不同等级，二级和三级是最常见的两档。等级越高，要求越严，要配的安全设备也越多。而那张拓扑图，本质上是把“标准里的条文要求”翻译成“网络里摆在哪个位置的一台台设备”。搞懂这张图怎么画、哪些设备必须买，就等于搞懂了等保2.0落地时最实际的那一半。下面就把二级、三级、增强版、豪华版这几套规划，一层层拆开讲清楚。

2. 为什么拓扑图不能随便画：设备位置对应的是标准条款

2.1 拓扑图不是美术作业，是条款的“落地地图”

很多人以为拓扑图就是把设备摆好看一点，其实不是。等保2.0的测评是分区域看的：安全通信网络、安全区域边界、安全计算环境、安全管理中心，每个区域都有对应的技术要求。拓扑图的作用，就是让测评人员一眼看出“这条要求由哪台设备来满足”。

打个比方，等保标准像一份建筑消防规范，拓扑图就是消防设施平面图。规范说“疏散通道要独立”，平面图上就得画出那条通道；规范说“要有火灾报警”，图上就得标出报警主机的位置。设备不是随便加的，每一台都要能对上一个条款。所以画图之前，先想清楚每个安全区域要满足什么，再决定放什么设备，顺序不能反。

2.2 二级和三级的分水岭：从“有防护”到“可审计、可管控”

二级和三级最核心的差别，不在于设备数量，而在于安全能力的层次。二级解决的是“有没有基本防护”：边界有防火墙、主机有杀毒、日志有留存，做到这三点，基础盘就稳了。三级则要求“出了事能查、能管、能追溯”，于是堡垒机、数据库审计、漏洞扫描、网络准入这些“管人、管操作、管漏洞”的设备就变成了必配。

这个差别可以用小区安保来类比。二级像是有大门门禁、有监控摄像头、有保安巡逻；三级则要求访客登记、操作留痕、定期排查隐患、关键区域双人进出。前者防的是“外人随便进”，后者防的是“内部人乱来也查得到”。理解了这层，再看拓扑图上为什么三级多出那么多设备，就不会觉得是在堆料了。

2.3 一张图里的四个区：边界、计算环境、管理中心、分区

等保拓扑图通常按区域来组织，最典型的是四块：接入边界、分区边界、计算环境、安全管理中心。接入边界放NGFW，管的是外网进来的流量；分区边界再放一台NGFW，管的是内网不同安全域之间的访问；计算环境里是主机和杀毒软件；管理中心则是日志审计、堡垒机、数据库审计这些“看全局”的设备。

提示：画图时把“管理流量”和“业务流量”分开走，是很多拓扑图被挑毛病的地方。管理设备如果和业务混在一个区，测评时容易被认为边界不清。

3. 二级等保的基础版：四台设备撑起一个合规底线

3.1 NGFW为什么是“必配中的必配”

二级规划里第一台设备就是NGFW，也就是下一代防火墙。它和传统防火墙的区别在于，传统防火墙只看IP和端口，NGFW还能识别应用、做入侵防御、查病毒、建加密通道。等保二级要求边界访问控制、入侵防范、恶意代码防范、通信加密，一台NGFW把这些能力融合在一起，是最经济的做法。

配置上，NGFW至少要开启访问控制策略、入侵防御模块和防病毒模块，如果系统有远程接入需求，还要配加密传输功能。这里有个血泪经验：不少人买了NGFW却只当普通防火墙用，策略全放通，测评时边界访问控制这一项直接翻车。设备买对了，策略没配，等于没买。

3.2 主机杀毒、日志审计、数据库审计：三件套各管一段

二级的另外三台必配设备，分工很明确。主机杀毒软件管的是每台服务器和终端，对应安全计算环境的恶意代码防范；日志审计系统管的是全网设备和系统的日志集中留存，对应安全管理中心的集中审计；数据库审计管的是数据库的访问行为和操作内容，对应数据层面的审计要求。

这三者容易混，用一句话区分：杀毒管“机器有没有中毒”，日志审计管“设备和系统发生了什么”，数据库审计管“谁动了数据、动了什么”。三者覆盖的层面不同，缺一个就会在对应条款上失分。二级系统如果数据库业务不多，数据库审计的部署范围可以按实际库来定，但设备本身不能省。

3.3 二级拓扑图的画法：一条主线加三个旁挂

二级的拓扑图相对简单，画法可以概括为“一条主线、三个旁挂”。主线是外网到接入边界NGFW，再到内网核心交换，最后到服务器区；三个旁挂分别是主机杀毒（部署在服务器和终端上）、日志审计（旁挂核心交换，收全网日志）、数据库审计（旁挂数据库所在区域）。

画的时候注意两点：一是NGFW要明确标出串接在边界上，不能画成旁路；二是日志审计的采集范围要覆盖NGFW、交换机、服务器，图上用虚线标出采集关系。这样一张图，测评人员能直接对上边界、计算环境、管理中心三块要求，二级基础版就算画到位了。

4. 三级等保的进阶逻辑：从“防得住”到“查得清”

4.1 三级基础版：边界加厚，管理设备补齐

三级基础版在二级的基础上做了两件事：边界加厚、管理补齐。边界上，接入边界NGFW之外再加一台分区边界NGFW，把内网不同安全域隔开，同时开启入侵防御、防病毒、网络接入控制（802.1X）和加密传输功能。管理上，新增堡垒机、漏洞扫描、上网行为管理，数据库审计从“按需”变成“必选”。

堡垒机是三级里存在感最强的一台设备，它管的是运维人员怎么登录服务器。所有运维操作先经过堡垒机，账号统一、操作录屏、命令留痕，对应的是集中管控和安全审计要求。没有堡垒机，运维人员直接用账号密码登服务器，出了事根本查不到是谁干的，这是三级测评里最常见的失分点。

4.2 增强版为什么还要加IPS、Anti-DDoS、APT沙箱、态势感知

三级增强版在基础版之上，又加了一批“对抗新型攻击”的设备：IPS做区域边界的入侵防御，Anti-DDoS抗流量攻击，APT沙箱检测未知恶意样本，态势感知做全局的安全事件分析和展示。这些设备对应的是等保三级里“入侵防范”“恶意代码防范”“安全事件发现”这些更细的要求。

为什么基础版不够？因为基础版的NGFW虽然融合了入侵防御，但面对大流量攻击、未知样本、高级持续性威胁时能力有限。增强版的思路是“专业设备干专业事”：流量攻击交给Anti-DDoS，未知文件丢进沙箱跑一遍，全网事件汇总到态势感知。这就像小区安保从“保安加监控”升级到“周界报警加人脸识别加指挥中心”，防的是更复杂的入侵方式。

4.3 必选与选配的边界：WAF、网页防篡改、DLP什么时候才需要

三级增强版里有一批“可选”设备：网页防篡改、主机入侵防御HIPS、数据防泄漏DLP、身份鉴别平台IAM、态势感知探针。这些不是不买就不合规，而是要看系统有没有对应场景。有对外网站，网页防篡改就该上；有敏感数据外发风险，DLP才有意义；态势感知探针在已有NGFW能力可复用的情况下，可以不单独采购。

判断标准很简单：看系统有没有这类资产、有没有这类风险。没有对外网站却买网页防篡改，钱花了测评也不加分；有大量客户数据却不考虑DLP，风险又实实在在。选配设备的取舍，考验的是对自己系统的了解程度，而不是预算多少。

5. 常见误区与易混概念：这几组词最容易搞混

5.1 误区一：NGFW开了就行，策略不用细配

易混点：把“买了NGFW”等同于“满足了边界要求”。为什么混：设备参数表上写着支持访问控制、入侵防御、防病毒，看起来功能齐全。怎么区分：等保看的是实际配置和策略，不是产品手册。NGFW必须配置明确的访问控制策略、开启入侵防御和防病毒模块，策略不能全放通，否则边界访问控制这一项就是空的。

5.2 误区二：日志审计和数据库审计是一回事

易混点：两者都叫“审计”，都跟日志有关。为什么混：名字相近，部署位置也常挨在一起。怎么区分：日志审计收的是网络设备、安全设备、服务器的系统日志，关注“谁登录了、设备报了什么”；数据库审计解析的是数据库协议，关注“哪条SQL查了哪张表、改了什么数据”。前者管设备，后者管数据，测评时是两条独立要求。

5.3 误区三：堡垒机就是跳板机，能登录就行

易混点：把堡垒机当成一台中转服务器。为什么混：功能上确实能通过它登录内网机器。怎么区分：堡垒机的核心是“管控加审计”，要求账号集中管理、权限细粒度分配、操作全程录屏、命令可回溯。只做跳转不做审计，等于没满足集中管控要求。三级测评会实际查看运维操作的审计记录，这一项糊弄不过去。

5.4 误区四：三级一定比二级多买一堆设备，二级可以少配

易混点：把等级当成设备数量的简单叠加。为什么混：三级设备清单确实更长。怎么区分：等级对应的是能力要求，不是采购清单。二级的四台必配设备一台都不能少，少一台就有条款覆盖不到；三级多出来的设备是因为多了“集中管控、入侵防御、漏洞管理”这些能力要求。按能力倒推设备，而不是按数量攀比。

5.5 误区五：豪华版就是多花钱，物理隔离没必要

易混点：认为多网架构和网闸是过度设计。为什么混：多数系统单网就能跑，物理隔离看起来成本高。怎么区分：豪华版针对的是内外网都要跑、且内网安全要求更高的场景。物理隔离加网闸，解决的是“内外网之间只能单向或受控交换数据”的问题，这是架构层面的要求，不是设备层面的堆叠。有这类架构的系统，隔离不做，其他设备配再多也补不上。

6. 什么时候按哪套配：一张对照表和几条判断经验

落到实际选择上，先看系统定几级，再看系统长什么样。二级系统按基础版四件套配齐，拓扑图画一条主线加三个旁挂，基本不会出错。三级系统先上基础版，再根据资产和风险决定增强版里的必选项，有对外网站就考虑WAF和网页防篡改，有敏感数据就考虑DLP。多网架构、内外网都要跑的系统，才轮到豪华版的物理隔离加网闸。

有几条判断经验值得记住。第一，必配设备先配齐再谈选配，顺序反了容易在基础条款上失分。第二，拓扑图上每台设备都要能指回一条要求，指不回去的设备要么位置画错了，要么根本不需要。第三，管理流量单独走一个区，别和业务流量混在一起。第四，选配设备看场景不看预算，没有对应资产就不买。

我自己的习惯是，每次画完拓扑图，都拿标准条款逐条对一遍，看每条要求能不能在图上找到落点，找不到就补，找到了但设备没配策略就改配置。这个笨办法救过好几次场，比事后返工省事得多。希望帮到你。

本文还有配套的精品资源，点击获取