核心观点：终端安全管理软件满足等保2.0三级要求，核心是把"安全计算环境"的6条强制要求逐条落地——身份鉴别（计算机/用户双重管理）、访问控制（终端防火墙+程序管控）、安全审计（主机监控+日志留存6个月）、入侵防范（补丁管理+端口关闭）、恶意代码防范（违规外联报警+USB管控）、可信验证（资产自动盘点）。
这6条不是建议，是测评专家来了要逐条检查的硬指标。下文逐条说明怎么落地。
一、等保2.0三级对终端的6条核心要求
等保2.0三级的"安全计算环境"里，和终端安全直接相关的有6条：
序号 | 等保2.0要求 | 原文表述（摘要） | 对应终端功能 |
1 | 身份鉴别 | 应对登录的用户进行身份标识和鉴别 | 计算机/用户双重管理 |
2 | 访问控制 | 应授予不同账户为完成各自承担任务所需的最小权限 | 终端防火墙、程序管控 |
3 | 安全审计 | 应审计到每个用户、每个重要安全事件，审计记录留存不少于6个月 | 主机监控审计、日志留存 |
4 | 入侵防范 | 应遵循最小安装原则，关闭不需要的端口和服务 | 补丁管理、终端防火墙 |
5 | 恶意代码防范 | 应采用免受恶意代码攻击的技术措施 | 违规外联报警、U盘管控 |
6 | 可信验证 | 可基于可信根对计算设备的系统引导程序、系统程序等进行可信验证 | 资产自动盘点 |
这6条不是"建议"，是等保2.0三级的强制要求——测评专家来了要逐条检查，缺一条就扣分。
二、逐条对应落地怎么做
1.身份鉴别：计算机和用户双重管理
等保要求"应对登录的用户进行身份标识和鉴别"。很多企业的终端管理是"只管电脑、不管人"——这台电脑是谁在用、用的什么账号，IT主管说不清楚。
落地做法：终端安全管理系统支持计算机和用户双重管理——每台电脑绑定一个使用人，谁在什么时间用了哪台电脑，后台一目了然。员工换了电脑、换了账号，系统自动记录。
2.访问控制：终端防火墙和程序管控
等保要求"应授予不同账户为完成各自承担任务所需的最小权限"。简单说就是：财务室的电脑不该上互联网、车间的生产终端不该访问办公区的电脑。
落地做法：终端防火墙支持三种网络模式——仅内网、仅内部互联、禁止所有网络访问。按部门、按角色给每台电脑配不同的网络权限：
-财务室电脑：仅内网，不能上互联网；
-车间生产终端：仅内部互联，只能访问指定服务器；
-管理层电脑：可以上互联网，但行为要审计。
同时支持程序黑名单——游戏、SF、**工具、无关娱乐软件批量禁止运行。
3.安全审计：主机监控审计+日志留存6个月
等保要求"应审计到每个用户、每个重要安全事件，审计记录留存不少于6个月"。这是等保2.0里最硬的一条——日志留存不满6个月，直接扣分。
落地做法：系统自动记录每台电脑的安全事件——谁在什么时间、登录了什么账号、跑了什么程序、访问了什么网站、插拔了什么设备。所有日志自动归档，留存不少于6个月。
测评专家来的时候，直接导出一份"某台电脑最近6个月的安全日志"给他看，就够了。
4.入侵防范：补丁管理+终端防火墙
等保要求"应遵循最小安装原则，关闭不需要的端口和服务"。很多企业的电脑上开了一堆用不着的端口和服务，成了黑客入侵的入口。
落地做法：系统自动扫描全网终端的补丁状态——哪些电脑缺补丁、哪些端口开了、哪些服务在后台跑，一键盘点。IT主管根据扫描结果，批量关闭不必要的端口和服务，及时打补丁。
5.恶意代码防范：违规外联报警+U盘管控
等保要求"应采用免受恶意代码攻击的技术措施"。很多企业的电脑中病毒，都是从两个渠道进来的——员工私自连外网、员工用私人U盘拷文件。
落地做法：
-违规外联报警：系统24小时监测终端网络状态，一旦发现电脑脱离内网、私连外网，自动报警通知管理员，并联动断网、锁屏、关机；
-USB四模式管控：可以设置禁用所有U盘、只允许公司备案的U盘使用、或开启只读模式。所有U盘的插拔、读写操作自动记录。
6.可信验证：资产自动盘点
等保要求"可基于可信根对计算设备的系统引导程序、系统程序等进行可信验证"。对中小企业来说，最基础的"可信"就是：知道内网里有哪些电脑、都是什么配置、有没有被改动过。
落地做法：系统自动扫描全网终端的硬件配置、系统版本、安装软件、设备型号、使用状态，一键生成资产报表。硬件拆换了、软件装了卸了，系统自动报警——这台电脑的配置和标准不一样，可能被改动过。
三、域智盾怎么落地这6条
域智盾软件是一套面向企业的终端安全管理软件，从主机监控、补丁管理到外设管控，把等保2.0三级"安全计算环境"的6条要求一次落地。
系统支持B/S、C/S双重架构——C/S更安全，保障系统自身安全；B/S更便捷，网页即可登录管理，免安装管理端。
按厂商公开介绍，系统"自动扫描统计全网终端的硬件配置、系统版本、安装软件、设备型号、使用状态，一键生成完整资产报表；硬件更换、软件装卸载时第一时间推送报警"（来源：域智盾官网）。
产品已通过软件产品认定证书、国家版权局软著、ISO9001质量管理体系认证和网络安全专业产品安全检测证书，可适配5台到上万台终端（数据来源：域智盾GF介绍）。
四、常见问题
问：等保2.0三级一定要过吗？
答：政务、金融、医疗、关键信息基础设施运营者必须过；其他企业看客户要求——很多大客户招标时会要求供应商提供等保三级证书。
问：日志留存6个月是硬性要求吗？
答：是的。《网络安全法》第二十一条明确规定，网络日志留存时间不少于六个月。这不是建议，是法定义务。
问：终端安全管理软件装了会不会影响电脑运行？
答：不会。客户端对系统资源占用很低，不影响办公使用。
问：50人以下的小公司需要过等保吗？
答：不一定。如果你的客户没有要求、也不是关键信息基础设施，可以先从终端安全基础能力做起，等业务需要时再过等保。
五、结语
终端安全管理软件满足等保2.0要求的本质，不是"装一套软件"，而是把"身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证"这6条要求逐条落地。
对企业来说，先把日志留存6个月和主机监控审计做起来，比急着上全套等保体系要实际得多。
编辑：莎莎
| 欢迎光临 怎通站长论坛 (http://cloud.dachanpin.com/) |