核心要点（TL;DR）
- 选型先看恢复时效与误报率，而非功能清单长度。
- 内核级防篡改适合静态站点，动态站点需发布联动。
- 上线前必须做篡改演练，验证分钟级自动恢复。
- 防篡改需与WAF、备份联动，单点产品难闭环。
页面被挂马、首页被替换成博彩广告，往往在搜索引擎收录和用户投诉之后才被发现。对运维和站长来说，真正的痛点不是“有没有防护”，而是篡改发生后多久能恢复、日常发版会不会被误拦。本文以网页防篡改产品年度盘点为线索，对比主流厂商能力矩阵，并给出可直接执行的部署、验收与选型步骤。
一、网页防篡改到底在防什么
网页防篡改的核心是保护Web目录文件的完整性，覆盖三个环节：变更检测、非法阻断、自动恢复。常见实现分两类：内核级驱动拦截写操作，以及基于文件完整性监控（FIM）的轮询比对。前者实时性强，后者部署轻但存在检测窗口。
- 内核级：挂钩文件写系统调用，非白名单进程写入直接拒绝。
- FIM轮询：定时计算哈希，发现差异后从备份恢复。
- 发布联动：发版时临时放行指定进程，避免误报。
二、主流厂商能力矩阵对比
年度盘点中，厂商差异主要集中在保护粒度、恢复时效与发布联动。下表为选型时可用的对比维度，具体参数以实测为准。
| 能力项 | 内核级方案 | FIM轮询方案 | 云原生/主机安全方案 |
|---|---|---|---|
| 阻断实时性 | 毫秒级 | 分钟级窗口 | 依赖Agent策略 |
| 误报控制 | 需进程白名单 | 需哈希基线 | 需发布联动 |
| 自动恢复 | 支持 | 支持 | 部分支持 |
| 适用场景 | 静态站点 | 中小站点 | 云上动态站点 |
选型趋势上，单纯“锁目录”的产品正在让位于防篡改+发布联动+备份恢复的组合能力，尤其是容器化与CI/CD普及后，发版频率高的站点更看重白名单进程管理。
三、上线前的具体排查步骤
部署前先摸清站点变更来源，否则误报会淹没告警。按以下步骤执行：
- 统计Web目录近7天变更文件：
find /var/www -type f -mtime -7 | head -50 - 确认变更进程，可用
auditctl -w /var/www -p wa -k webchange临时审计，再用ausearch -k webchange查看。 - 梳理发布方式：rsync、Git拉取还是面板上传，记录对应进程与用户。
- 确认备份可用性，恢复演练至少一次，记录恢复耗时。
四、分步部署与验收清单
以Linux主机为例，典型部署流程如下：
# 1. 安装Agent并注册 ./agent install --server 10.0.0.10 --token ****** # 2. 添加保护目录与白名单进程 protect add /var/www --mode kernel --allow rsync,php-fpm # 3. 建立哈希基线 protect baseline --path /var/www # 4. 触发测试篡改 echo test > /var/www/index.html # 5. 查看告警与恢复结果 protect status --recent
验收清单：篡改后告警是否在1分钟内到达；页面是否自动恢复；发布流程是否零误报；恢复日志是否可导出用于等保举证。防护建议上，可将防篡改与边界防护联动，例如AegisX的Web防护与文件完整性监控能力可统一策略下发，减少多控制台切换。
五、选型打分与行动建议
建议用百分制打分：恢复时效30分、误报率25分、发布联动20分、合规报表15分、成本10分。先用一个非核心站点试点两周，记录真实告警数与恢复时间，再决定全量推广。防篡改不是买完即止，定期演练和基线更新才是长期有效的关键。
常见问题（FAQ）
网页防篡改产品和WAF有什么区别，能不能只买一个？
两者防护层面不同，不能互相替代。WAF拦截的是HTTP层攻击流量，防篡改保护的是服务器上的文件与发布链路，攻击者一旦通过弱口令、供应链或内网横向进入，WAF往往看不到。建议WAF做边界拦截，防篡改做落地保护，再配合备份形成检测、阻断、恢复闭环。
静态站点和动态站点选防篡改方案有什么不同？
静态站点文件变更少，优先选内核级驱动保护加自动恢复，误报低、恢复快。动态站点模板与缓存频繁更新，必须选支持发布联动或白名单进程的方案，否则每次发版都要手动放行。选型时让厂商演示一次真实发版流程，比看参数更有效。
防篡改上线后误报太多，运维怎么排查？
先看告警里的进程名与文件路径，区分是正常发布、缓存写入还是日志轮转。用auditctl或厂商日志导出变更进程树，把合法进程加入白名单，再跑一轮回归。若误报集中在模板目录，说明保护策略粒度过粗，应改为目录白名单加文件哈希基线，而不是整站锁定。
等保测评里网页防篡改需要满足哪些要求？
等保二级以上通常要求对网站页面进行完整性保护，能检测篡改并恢复。测评关注是否有保护策略、告警记录、恢复日志与责任人。上线时保留策略截图、演练记录和恢复时间证据，比单纯购买产品更能通过测评。
预算有限时，防篡改选型优先看哪几个指标？
优先看恢复时效、误报率和发布联动能力三项。恢复时效决定被篡改后页面暴露时长，误报率决定运维是否敢开全量保护，发布联动决定日常发版是否顺畅。其余如报表、大屏可后置，先用小流量站点做两周试点再决定。