网络渗透测试 · 课程作业
网络安全等级保护 2.0
学习理解与梳理
本文记录我对等保 2.0 的定义背景、法律依据、等级划分、标准框架、具体要求与实施流程的理解，并结合渗透测试课程思考二者关系。
01
等保 2.0 核心内容
定义与背景
- 等保 2.0 是我国网络安全等级保护制度的新一代标准规范，核心标准为
GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》，于 2019 年 5 月发布、2019 年 12 月 1 日正式实施，代替 GB/T 22239—2008。 - 保护对象从传统信息系统，扩展到基础信息网络、云计算平台/系统、大数据应用/平台、物联网、工业控制系统、采用移动互联技术的系统等。
- 核心理念由等保 1.0 的被动防御，升级为主动防御、纵深防御、动态防护、精准防护，强调安全贯穿系统规划、建设和运维全过程。
法律依据
- 《中华人民共和国网络安全法》（2017 年 6 月 1 日施行）第二十一条明确规定：国家实行网络安全等级保护制度，网络运营者必须履行安全保护义务。
- 《数据安全法》（2021 年 9 月 1 日施行）、《个人信息保护法》等法律法规，进一步补充了数据安全与个人信息保护方面的要求。
- 未履行等级保护义务的单位，将面临责令整改、警告、罚款；情节严重的，可被责令暂停相关业务、停业整顿等。
等级划分
根据等级保护对象受到破坏后，对公民/法人合法权益、社会秩序/公共利益、国家安全造成的危害程度，由低到高划分为五个级别：
| 级别 | 受破坏后的危害程度 | 监管方式 | 测评频率 |
|---|---|---|---|
| 第一级自主保护级 | 损害公民、法人合法权益，不损害国家安全、社会秩序和公共利益 | 自主保护 | 可不予测评 |
| 第二级指导保护级 | 严重损害合法权益，或损害社会秩序和公共利益，不损害国家安全 | 指导保护 | 每两年一次 |
| 第三级监督保护级 | 严重损害社会秩序和公共利益，或损害国家安全 | 监督检查 | 每年一次 |
| 第四级强制保护级 | 特别严重损害社会秩序和公共利益，或严重损害国家安全 | 强制监督检查 | 每半年一次 |
| 第五级专控保护级 | 对国家安全造成特别严重损害 | 专门监督检查 | 按专门规定 |
一般中小企业核心系统多定为二级或三级；医疗、金融、政务、能源等关键行业的重要系统，通常按三级或以上要求保护，关键信息基础设施要求更高。
核心目标
- 抵御外部攻击与入侵，防范非法访问；
- 防止敏感信息和重要数据被泄露、窃取、篡改；
- 保障系统持续、稳定运行，维护业务连续性。
02
标准框架：一个中心、三重防护
等保 2.0 采用 “通用要求 + 扩展要求” 的结构：安全通用要求是所有对象都必须满足的基础要求；安全扩展要求针对云计算、移动互联、物联网、工业控制系统等新技术形态附加。
安全管理中心系统管理 · 审计管理 · 安全管理 · 集中管控
▲
安全通信网络网络架构 · 通信传输 · 可信接入
安全区域边界边界防护 · 访问控制 · 入侵防范 · 安全审计
安全计算环境身份鉴别 · 访问控制 · 入侵防范 · 数据安全
“一个中心、三重防护”即以安全管理中心为核心，覆盖通信网络、区域边界、计算环境三重防护，再加上安全物理环境，构成完整技术防护体系。
03
等保 2.0 具体要求
技术要求
物理安全
- 机房部署门禁、防火、防水、防潮、防盗、防雷等设施；
- 服务器等设备物理固定，做好防盗窃、防破坏；
- 配备 UPS 不间断电源等备用电力保障，级别越高持续供电要求越严。
网络安全（通信网络 / 区域边界）
- 边界部署防火墙等访问控制设备，实施网络区域划分与分级管理；
- 遵循最小化原则，关闭或限制非必要端口、服务对公网的暴露（如
3389远程桌面、22SSH 应限制访问来源，而非直接对公网开放）； - 在边界和重要节点进行入侵防范与安全审计，完整保存访问和操作记录。
计算环境安全
- 及时更新系统与组件补丁，修复已知漏洞；
- 设置 8 位以上、含多种字符类型（大小写字母、数字、特殊字符）的复杂口令并定期更换，重要系统启用双因素认证；
- 安装正版防恶意代码软件，并及时更新病毒库。
应用安全
- 登录环节增加验证码、登录失败处理（锁定 / 限速）等机制，防范暴力破解；
- 对所有用户输入进行校验和过滤，防范 SQL 注入、XSS 跨站脚本等攻击，防止恶意代码上传与执行。
数据安全
- 数据传输采用 HTTPS 等加密协议，重要数据存储采取数据库加密等措施；
- 建立定期备份与恢复机制，重要数据进行异地备份；
- 网络日志依法留存不少于六个月（依据《网络安全法》第二十一条）。
管理要求
- 安全制度：制定完整的账户管理、漏洞修复、配置管理、运维操作等规章制度，明确安全责任人和岗位职责。
- 人员培训：新入职员工必须接受安全教育培训，关键岗位签订保密协议；三级及以上系统重要岗位操作人员，要求具备相应专业资格、持证上岗。
- 应急演练：制定应急预案，每年至少组织一次应急预案实操演练，并根据演练结果修订预案。
04
实施流程
等保工作的规定动作可概括为“定级 — 备案 — 建设整改 — 等级测评 — 监督检查”五个环节，形成持续闭环。
STEP 1
定级确定定级对象，初步判定安全保护等级；初步定为第二级及以上的对象，需组织专家评审并报主管部门核准。
STEP 2
备案定级确认后 30 个工作日内，向所在地设区的市级及以上公安机关网安部门备案，二级以上系统取得备案证明。
STEP 3
建设整改对照相应等级的标准要求，从技术和管理两方面进行安全建设与整改。
STEP 4
等级测评委托具备资质的第三方测评机构开展专业测评，出具合规报告；三级系统每年至少一次，二级系统一般每两年一次。
STEP 5
持续监督接受公安机关及监管部门的定期监督、检查与指导，系统发生重大变更时重新评估，实现动态合规。
05
常见误区
01
×只配一台防火墙就能达标等保是“技术 + 管理”的体系化工程，单点设备无法替代整体防护和制度建设。
02
×小企业 / 小系统无需合规只要属于网络运营者、对外提供服务或涉及用户数据存储，就应依法定级并履行义务，与企业规模没有必然关系。
03
×用虚假手段通过测评提供虚假材料、规避测评属于违法行为，一经查实将承担严重法律后果，也无法真正抵御风险。
04
×一次测评终身有效等保是持续性工作，必须定期复测，并在系统发生重大变更时重新评估。
06
与渗透测试的关系（个人理解）
- 渗透测试是手段，等保是合规框架与目标。等级测评中的工具测试 / 安全测试，会用到漏洞扫描、渗透测试等方法验证防护措施是否真实有效（如物联网安全扩展要求中明确提到感知层渗透测试）。
- 渗透测试必须合法授权。应在书面授权范围内开展，严格限定测试范围、时间和手段，禁止任何未授权测试；这与等保“依法保护、责任明确”的内在要求一致。
- 形成闭环改进。渗透测试发现的漏洞，最终回流到等保“定级—备案—整改—测评—监督”的闭环中，形成“发现—修复—验证”的持续安全改进。
07
参考资料
- GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》
- GB/T 22240—2020《信息安全技术 网络安全等级保护定级指南》
- GB/T 28448—2019《信息安全技术 网络安全等级保护测评要求》
- GB/T 28449—2018《信息安全技术 网络安全等级保护测评过程指南》
- 《中华人民共和国网络安全法》
- 公安部《网络安全等级保护 2.0 标准解读》