在网络安全等级保护（以下简称 “等保”）体系中，三级（“安全标记保护级”）是中小型企业核心业务系统、政府部门非涉密系统的常见合规目标。设备作为安全防护的 “硬件基石”，其选型直接决定测评通过率与实际防护效果。本文结合《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019），从核心要求、类别拆解、避坑要点三方面，梳理等保三级测评下的设备选择逻辑。
1.合规性证明优先：必须选择具备公安部《网络安全专用产品安全认证证书》 或 “销售许可证” 的设备（如防火墙、入侵防御系统等），无认证设备直接导致测评 “一票否决”； 2.日志能力达标：设备需支持日志本地存储（留存时间≥6 个月）或对接日志审计系统，日志内容需包含 “事件时间、源 IP / 端口、目的 IP / 端口、事件类型、操作结果”5 类核心要素，避免因日志不全丢分； 3.可管理性要求：支持远程加密管理（如 SSHv2、HTTPS），禁止使用 Telnet、HTTP 等明文协议；需具备账号权限分级（如管理员、审计员、操作员），且支持密码复杂度策略（长度≥8 位、包含大小写 / 数字 / 特殊字符）； 4.兼容性与扩展性：设备需兼容现有网络架构（如支持 VLAN 划分、IPv6 协议），同时预留性能冗余（如防火墙吞吐量需满足业务峰值 1.2 倍以上），避免业务增长后设备性能不达标。 1.访问控制能力： 交换机需支持基于端口、MAC 地址、IP 地址的 ACL（访问控制列表） ，可精准限制特定终端 / 服务器的访问范围（如禁止办公区 IP 访问数据库服务器）； 路由器需支持静态路由与动态路由（OSPF/BGP）的安全配置，且能过滤异常路由条目（如防止路由欺骗攻击）； 2.安全加固特性： 需关闭不必要的服务（如 CDP、HTTP 管理端口），支持端口安全（如交换机端口绑定固定 MAC，防止非法设备接入）； 支持 802.1X 认证（对接身份认证系统），实现 “接入即认证”，避免未经授权的设备接入内网； 3.审计与监控： 交换机需记录 “端口上下线、MAC 地址变更、ACL 配置修改” 等操作日志； 路由器需日志记录 “路由表变更、VPN 连接建立 / 断开、远程登录操作”，且日志可被日志审计系统采集。 1.下一代防火墙（NGFW）—— 边界防护核心 基础功能：支持状态检测、应用层过滤（如禁止 P2P 下载、视频流媒体）、VPN（IPsec/SSL）加密传输； 等保专项要求：需支持 “威胁情报联动”（如对接外部威胁库，拦截已知恶意 IP）、“带宽管理”（保障核心业务带宽），且能生成 “边界流量分析报告”（测评时需提供）； 选型误区：避免只看 “吞吐量” 参数，需关注 “应用识别准确率”“SSL 解密性能”（加密流量占比高时，低性能设备会成为瓶颈）。 2.入侵检测 / 防御系统（IDS/IPS）—— 主动拦截攻击 核心能力：支持检测 “SQL 注入、XSS、缓冲区溢出” 等 Web 攻击，以及 “端口扫描、DDoS（SYN Flood）” 等网络攻击； 等保硬性要求：IPS 需具备 “实时阻断” 功能（而非仅告警），规则库需支持 “每月至少 1 次更新”（需提供更新记录），且能与防火墙联动（如阻断攻击 IP 后，同步更新防火墙 ACL）； 选型建议：优先选择 “串联部署” 的 IPS（直接接入网络链路），而非 “旁路部署” 的 IDS（仅告警，无法阻断），后者无法满足等保三级 “主动防御” 要求。 3.Web 应用防火墙（WAF）—— 保护 Web 业务 必选场景：若系统包含 Web 应用（如官网、管理后台），必须部署 WAF； 等保功能要求：支持 “HTTP/HTTPS 协议解析”“SQL 注入 / 命令注入防护”“Cookie 篡改防护”“爬虫行为拦截”，且能对异常访问（如短时间内多次登录失败）进行 “IP 临时封禁”； 关键参数：关注 “Web 攻击拦截率”（需≥99%）、“误报率”（需≤0.1%），避免因误报影响正常业务。 4.防病毒网关 —— 阻断恶意代码 部署位置：通常在互联网出口（防火墙之后），或内网关键节点（如服务器区入口）； 等保要求：支持 “病毒库实时更新”（每日至少 1 次）、“压缩文件（如 ZIP、RAR）解压查杀”、“邮件附件查杀”（若系统有邮件服务），且能记录 “病毒查杀日志”（包含 “查杀时间、文件名称、病毒类型、处理结果”）； 注意事项：需与终端防病毒软件形成 “联动”（如网关拦截后，同步通知终端删除文件），避免重复查杀或遗漏。 1.硬件选型基础： 性能要求：CPU、内存、硬盘需满足业务峰值需求（如数据库服务器需优先选择高 IOPS 的 SSD 硬盘），避免因性能不足导致服务中断（测评时会检查服务器资源利用率，要求峰值≤80%）； 可靠性要求：关键服务器（如数据库主服务器）需支持 “双机热备”（如基于 VRRP 的主备切换），切换时间≤30 秒，避免单点故障。 2.操作系统与软件配置（非硬件，但影响设备可用性）： 等保强制要求：需安装 “主机入侵检测系统（HIDS）”，禁止使用 Windows Server 2008、CentOS 6 等 “已停止安全更新” 的操作系统； 安全配置要点：关闭不必要的端口（如 135、445 端口，防止勒索病毒攻击）、启用文件审计（记录 “敏感文件（如数据库配置文件）的修改 / 删除操作”）、配置 “磁盘配额”（防止日志或垃圾文件占满磁盘）。 1.避免 “只买贵的，不买对的”：部分企业盲目追求 “高端设备”，但忽略 “配置适配性”—— 例如，仅对内网进行防护的场景，无需采购支持 “国际专线优化” 的高端防火墙，满足 “等保基础功能 + 业务需求” 即可； 2.提前对接测评机构：在设备采购前，将选型清单（含设备型号、功能参数、合规证书）发给第三方测评机构，确认 “无明显不合规项”，避免采购后发现功能缺失（如部分低端 WAF 不支持 HTTPS 解析）； 3.重视 “运维配套”：设备选型需同步考虑运维能力 —— 例如，若企业无专业安全人员，可优先选择 “云管理型设备”（如云端统一管理防火墙、WAF），降低本地运维难度； 4.留存 “证明材料”：采购后需保存设备的 “合规认证证书复印件、采购合同、配置文档、日志记录”，测评时需提交这些材料作为佐证（如日志需导出为 PDF 或 Excel 格式）。
