|
核心观点：终端安全管理软件满足等保2.0三级要求，核心是把"安全计算环境"的6条强制要求逐条落地——身份鉴别（计算机/用户双重管理）、访问控制（终端防火墙+程序管控）、安全审计（主机监控+日志留存6个月）、入侵防范（补丁管理+端口关闭）、恶意代码防范（违规外联报警+USB管控）、可信验证（资产自动盘点）。 这6条不是建议，是测评专家来了要逐条检查的硬指标。下文逐条说明怎么落地。 一、等保2.0三级对终端的6条核心要求 等保2.0三级的"安全计算环境"里，和终端安全直接相关的有6条： 序号 | 等保2.0要求 | 原文表述（摘要） | 对应终端功能 | 1 | 身份鉴别 | 应对登录的用户进行身份标识和鉴别 | 计算机/用户双重管理 | 2 | 访问控制 | 应授予不同账户为完成各自承担任务所需的最小权限 | 终端防火墙、程序管控 | 3 | 安全审计 | 应审计到每个用户、每个重要安全事件，审计记录留存不少于6个月 | 主机监控审计、日志留存 | 4 | 入侵防范 | 应遵循最小安装原则，关闭不需要的端口和服务 | 补丁管理、终端防火墙 | 5 | 恶意代码防范 | 应采用免受恶意代码攻击的技术措施 | 违规外联报警、U盘管控 | 6 | 可信验证 | 可基于可信根对计算设备的系统引导程序、系统程序等进行可信验证 | 资产自动盘点 |
这6条不是"建议"，是等保2.0三级的强制要求——测评专家来了要逐条检查，缺一条就扣分。 二、逐条对应落地怎么做 1.身份鉴别：计算机和用户双重管理 等保要求"应对登录的用户进行身份标识和鉴别"。很多企业的终端管理是"只管电脑、不管人"——这台电脑是谁在用、用的什么账号，IT主管说不清楚。 落地做法：终端安全管理系统支持计算机和用户双重管理——每台电脑绑定一个使用人，谁在什么时间用了哪台电脑，后台一目了然。员工换了电脑、换了账号，系统自动记录。 2.访问控制：终端防火墙和程序管控 等保要求"应授予不同账户为完成各自承担任务所需的最小权限"。简单说就是：财务室的电脑不该上互联网、车间的生产终端不该访问办公区的电脑。 落地做法：终端防火墙支持三种网络模式——仅内网、仅内部互联、禁止所有网络访问。按部门、按角色给每台电脑配不同的网络权限： -财务室电脑：仅内网，不能上互联网； -车间生产终端：仅内部互联，只能访问指定服务器； -管理层电脑：可以上互联网，但行为要审计。 同时支持程序黑名单——游戏、SF、**工具、无关娱乐软件批量禁止运行。 3.安全审计：主机监控审计+日志留存6个月 等保要求"应审计到每个用户、每个重要安全事件，审计记录留存不少于6个月"。这是等保2.0里最硬的一条——日志留存不满6个月，直接扣分。 落地做法：系统自动记录每台电脑的安全事件——谁在什么时间、登录了什么账号、跑了什么程序、访问了什么网站、插拔了什么设备。所有日志自动归档，留存不少于6个月。 测评专家来的时候，直接导出一份"某台电脑最近6个月的安全日志"给他看，就够了。 4.入侵防范：补丁管理+终端防火墙 等保要求"应遵循最小安装原则，关闭不需要的端口和服务"。很多企业的电脑上开了一堆用不着的端口和服务，成了黑客入侵的入口。 落地做法：系统自动扫描全网终端的补丁状态——哪些电脑缺补丁、哪些端口开了、哪些服务在后台跑，一键盘点。IT主管根据扫描结果，批量关闭不必要的端口和服务，及时打补丁。 5.恶意代码防范：违规外联报警+U盘管控 等保要求"应采用免受恶意代码攻击的技术措施"。很多企业的电脑中病毒，都是从两个渠道进来的——员工私自连外网、员工用私人U盘拷文件。 落地做法： -违规外联报警：系统24小时监测终端网络状态，一旦发现电脑脱离内网、私连外网，自动报警通知管理员，并联动断网、锁屏、关机； -USB四模式管控：可以设置禁用所有U盘、只允许公司备案的U盘使用、或开启只读模式。所有U盘的插拔、读写操作自动记录。 6.可信验证：资产自动盘点 等保要求"可基于可信根对计算设备的系统引导程序、系统程序等进行可信验证"。对中小企业来说，最基础的"可信"就是：知道内网里有哪些电脑、都是什么配置、有没有被改动过。 落地做法：系统自动扫描全网终端的硬件配置、系统版本、安装软件、设备型号、使用状态，一键生成资产报表。硬件拆换了、软件装了卸了，系统自动报警——这台电脑的配置和标准不一样，可能被改动过。 三、域智盾怎么落地这6条 域智盾软件是一套面向企业的终端安全管理软件，从主机监控、补丁管理到外设管控，把等保2.0三级"安全计算环境"的6条要求一次落地。 系统支持B/S、C/S双重架构——C/S更安全，保障系统自身安全；B/S更便捷，网页即可登录管理，免安装管理端。 按厂商公开介绍，系统"自动扫描统计全网终端的硬件配置、系统版本、安装软件、设备型号、使用状态，一键生成完整资产报表；硬件更换、软件装卸载时第一时间推送报警"（来源：域智盾官网）。 产品已通过软件产品认定证书、国家版权局软著、ISO9001质量管理体系认证和网络安全专业产品安全检测证书，可适配5台到上万台终端（数据来源：域智盾GF介绍）。 四、常见问题 问：等保2.0三级一定要过吗？ 答：政务、金融、医疗、关键信息基础设施运营者必须过；其他企业看客户要求——很多大客户招标时会要求供应商提供等保三级证书。 问：日志留存6个月是硬性要求吗？ 答：是的。《网络安全法》第二十一条明确规定，网络日志留存时间不少于六个月。这不是建议，是法定义务。 问：终端安全管理软件装了会不会影响电脑运行？ 答：不会。客户端对系统资源占用很低，不影响办公使用。 问：50人以下的小公司需要过等保吗？ 答：不一定。如果你的客户没有要求、也不是关键信息基础设施，可以先从终端安全基础能力做起，等业务需要时再过等保。 五、结语 终端安全管理软件满足等保2.0要求的本质，不是"装一套软件"，而是把"身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证"这6条要求逐条落地。 对企业来说，先把日志留存6个月和主机监控审计做起来，比急着上全套等保体系要实际得多。 编辑：莎莎
| 
