核心要点（TL;DR）
- 等保2.0要求网站落实身份鉴别、访问控制、安全审计等10项核心检查。
- 常见扣分点包括弱口令、日志缺失、未配置双因素认证等。
- 使用命令如grep、netstat快速自查，及时修复避免测评失分。
- 建议采用AegisX等工具自动化合规检查，提升效率。
痛点引入：等保2.0合规，中小站长的“必答题”
等保2.0已全面实施，网站安全合规不再是大型企业的专属。对于中小站长而言，缺乏专职安全团队、预算有限，面对厚厚的测评标准往往无从下手。更头疼的是，测评中的常见扣分点反复出现，导致整改返工、成本飙升。本文从实战角度出发，梳理中小站长必须完成的检查项与高频扣分点，并提供具体操作命令与检查清单，助你一次通过测评。
一、等保2.0网站安全核心检查项
等保2.0对网站的安全要求主要集中在“安全计算环境”和“安全管理中心”层面，以下10项为必查内容：
- 身份鉴别：要求唯一身份标识、口令复杂度、双因素认证（对重要用户）。
- 访问控制：启用最小权限原则，配置访问控制策略。
- 安全审计：开启日志记录，覆盖每个用户，日志保存≥6个月。
- 入侵防范：部署WAF、HIDS，定期漏洞扫描。
- 恶意代码防范：安装防病毒软件或部署RASP。
- 数据完整性与保密性：传输加密（HTTPS）、存储加密（如密码哈希）。
- 数据备份恢复：定期备份，异地存储。
- 剩余信息保护：清除内存、磁盘中的敏感数据。
- 个人信息保护：隐私政策、用户同意记录。
- 安全管理中心：集中管控、审计。
这些检查项在测评中均有对应证据要求，站长需逐项落实并留存配置截图、日志样本等。
二、常见扣分点与原理分析
根据历年测评报告，中小网站的高频扣分点主要集中在以下方面：
| 扣分点 | 具体表现 | 风险等级 |
|---|---|---|
| 弱口令 | 使用admin/123456等默认口令，或口令长度不足8位、无复杂度 | 高 |
| 未启用双因素认证 | 后台管理仅凭密码登录，无短信/OTP验证 | 中 |
| 日志缺失 | 未开启安全审计，或日志保存不足6个月 | 高 |
| 未部署WAF | 无Web应用防火墙，无法防御SQL注入、XSS等 | 高 |
| 未定期漏洞扫描 | 超过3个月未进行漏洞扫描和渗透测试 | 中 |
| 备份未异地 | 备份数据与生产环境同机房，未做异地容灾 | 中 |
这些扣分点往往因配置疏忽或成本考虑被忽略，但却是测评中的“重灾区”。例如，弱口令可直接导致身份鉴别项不得分，甚至一票否决。
三、具体排查步骤与命令
以下提供快速自查命令，帮助站长定位问题：
1. 检查系统口令强度
# 使用John the Ripper检测弱口令（需安装）
unshadow /etc/passwd /etc/shadow > passwords.txt
john passwords.txt或使用chage -l username查看口令过期策略。
2. 检查登录日志
lastb # 查看失败登录记录
last # 查看成功登录记录
cat /var/log/auth.log | grep "Failed password"3. 检查开放端口与服务
netstat -tuln关闭非必要端口，如23（telnet）、21（ftp）。
4. 验证WAF规则
curl -X GET "http://your-site.com/?id=1' OR '1'='1"观察是否返回403或拦截页面。
5. 检查日志轮转配置
cat /etc/logrotate.conf | grep -A5 "/var/log/nginx"确保rotate周期和保留份数满足6个月要求。
四、分步解决与加固指南
针对上述扣分点，建议按以下步骤整改：
- 统一身份管理：为所有用户分配唯一账号，强制口令复杂度（长度≥8，含大小写字母、数字、特殊字符），并启用双因素认证（如Google Authenticator）。
- 配置访问控制策略：使用iptables或云安全组限制访问源IP，Web目录权限遵循最小原则。
- 开启并集中管理日志：配置rsyslog将日志转发至日志服务器，使用logrotate保留6个月以上。Nginx配置示例：
access_log /var/log/nginx/access.log; error_log /var/log/nginx/error.log; - 部署WAF和HIDS：可选用云WAF（如阿里云盾）或开源ModSecurity，并安装OSSEC进行文件完整性监控。
- 定期漏洞扫描：使用OpenVAS或AWVS每月扫描一次，并留存报告。
- 实施异地备份：使用rsync或云存储服务，每日备份数据库和网站文件至异地。
在防护建议处，可考虑采用AegisX的合规检查模块，自动化扫描配置差距并生成整改建议，大幅提升效率。
五、合规检查清单与对比
为方便站长逐项核对，整理如下检查清单：
| 检查项 | 达标要求 | 自查命令/方法 |
|---|---|---|
| 身份鉴别 | 唯一账号、口令复杂、双因素 | 检查/etc/passwd、/etc/shadow，测试双因素登录 |
| 访问控制 | 最小权限、访问控制列表 | 检查文件权限、iptables规则 |
| 安全审计 | 日志开启、保存6个月 | 检查logrotate配置、日志文件 |
| 入侵防范 | WAF、HIDS、漏洞扫描 | 测试WAF拦截、查看HIDS告警 |
| 恶意代码防范 | 防病毒软件或RASP | 检查是否安装ClamAV等 |
| 数据完整性 | HTTPS、密码哈希存储 | 检查SSL证书、密码存储方式 |
| 数据备份 | 定期备份、异地存储 | 检查备份脚本、异地存储配置 |
| 剩余信息保护 | 清除敏感数据 | 检查内存清理机制、临时文件 |
| 个人信息保护 | 隐私政策、用户同意 | 检查网站隐私政策页面 |
| 安全管理中心 | 集中管控、审计 | 检查是否部署集中管理平台 |
对比等保1.0，等保2.0更强调动态防护和持续监控，站长需建立常态化自查机制。
行动建议
等保2.0合规不是一次性任务，而是持续改进的过程。建议中小站长：立即对照上述清单进行一次全面自查，优先修复高风险项（如弱口令、日志缺失、未部署WAF）；随后制定季度自查计划，利用自动化工具降低运维负担。记住，合规的最终目的是提升真实安全水位，而非应付测评。从现在开始行动，让网站安全成为业务发展的坚实底座。
常见问题（FAQ）
等保2.0对网站安全有哪些必须做的检查项？
等保2.0要求网站必须完成身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性与保密性、数据备份恢复、剩余信息保护、个人信息保护等10项核心检查。具体操作包括启用双因素认证、配置访问控制策略、开启安全审计日志、部署WAF等。站长需逐项核对并留存配置截图或日志记录作为证据。
中小站长在等保测评中最容易丢分的地方是什么？
最常见扣分点包括：使用弱口令或默认口令、未启用双因素认证、安全审计日志未保存6个月以上、未部署入侵防范措施（如WAF）、未定期进行漏洞扫描和渗透测试、数据备份未异地存储等。这些往往因配置疏忽或成本考虑被忽略，建议使用自动化工具定期自查。
如何快速自查网站是否满足等保2.0要求？
可通过以下命令快速自查：检查口令强度（如使用john the ripper工具）、查看登录日志（last、lastb）、检查开放端口（netstat -tuln）、验证WAF规则（如curl测试SQL注入拦截）。同时建议使用AegisX等合规检查工具自动化扫描，生成差距报告，针对性整改。
等保2.0要求日志保存多久？如何配置？
等保2.0要求安全审计日志保存至少6个月。对于Linux系统，可通过修改/etc/logrotate.conf调整日志轮转周期，或使用rsyslog集中存储。Web服务器（如Nginx）需配置access_log和error_log并设置轮转。建议使用ELK或类似方案集中管理日志，确保满足留存要求。
没有专职安全团队，如何低成本满足等保2.0？
建议优先采用云服务商提供的等保合规镜像和托管服务，如阿里云、腾讯云等已通过等保测评的基础环境。同时使用开源工具（如OpenSCAP、Wazuh）进行基线核查，并借助AegisX等SaaS化合规平台自动化检查与整改。重点聚焦高风险项，分阶段实施，避免一次性投入过大。