根据《信息安全技术 网络安全等级保护定级指南》GB/T 22240-2020来讲，我们平时接触的等保项目中接触最多的就是等保二级和三级这两种，因此着重分析一下等保二级和三级的区别。

安全物理环境

　　物理安全是整个网络信息系统安全的前提，可能面临的物理安全风险有地震、水灾、火灾、电源故障、电磁辐射、设备故障、人为物理破坏等，这些风险都可能造成系统的崩溃。因此，物理安全必须具备环境安全、设备物理安全和防电磁辐射等物理支撑环境，保护网络设备、设施、介质和信息免受自然灾害、环境事故以及人为物理操作失误或错误导致的破坏、丢失，防止各种以物理手段进行的违法犯罪行为。
　　等级保护通用要求对系统的物理安全要求较为严格，主要涉及的方面包括环境安全(防火、防水、防雷击等 )，设备和介质的防盗窃防破坏等方面。具体包括物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等十个控制点。在这些控制点中三级较二级在如下几方面做了增强:

• 防盗窃和防破坏：三级增加了防盗报警要求，或部署防盗报警系统，或通过部署视频监控系统通过专职人员实时监控实现。
• 防火：三级增加了分区域管理要求，各区域边界需要部署隔离防火设施。
• 防水和防潮：三级增加了对防水检测和报警要求，通过部署检测仪或元件识别机房湿度。
• 防静电：三级增加了防止静电产生的要求，例如静电消除器、防静电手环等。
• 电力供应：三级增加了对电力系统可靠性要求，需要部署冗余的供电系统。
• 电磁防护：三级增加了对关键设备防电磁的要求，需要对关键设备进行防电磁防护。
• 针对云计算场景、移动互联网场景、物联网场景、工业控制场景，安全物理环境在通用要求的基础上增加了安全扩展要求。
• 云计算场景：需要保证云计算基础设施位于中国境内。
• 移动互联场景：针对无线接入设备，重点关注信号覆盖和电磁干扰防护
• 物联网场景：针对关键网关节点设备应具有持久稳定的电力供应能力。针对感知节点需要在挤压、振动、强光、干扰、电力供应等方面重点防护，特别是电力供应应具有持久稳定的电力供应能力。
• 工业控制场景：针对室外控制设备应放置在防火材料的箱体内并固定，箱体具有
  透风、散热、防盗、防雨和防火能力等，同时控制设备放置应远离强电磁干扰、强热源等环境。

安全通信网络

　　网络整体架构和传输线路的可靠性、稳定性和保密性是业务系统安全的基础，通信网络的安全主要包括网络架构、通信传输和可信验证等方面。下面将从这几维度介绍安全通信网络的通用要求。

• 网络架构
  　　网络架构的合理性直接影响着能否有效的承载业务需要，因此网络架构需要具备一定的冗余性，包括通信链路的冗余，通信设备的冗余;同时网络各个部分的带宽，以及网络通信设备的处理能力需要满足业务高峰时期数据交换需求。并合理的划分安全区域，子网网段和 VLAN。
  　　等保二级中只提出了要做合理的分区分域以及重要业务系统与其他区域隔离的要求。等保三级在等保二级的基础上增加了对网络处理能力的要求，强调要满足业务高峰时的需求，同时强调通信线路和关键网络设备要冗余部署，提升系统的可用性。
• 通信传输
  　　网络通信传输应采用加密或者校验码技术保证通信过程中输的完整性和保密性。等保二级中只对完整性提出了要求，等保三级在等保二级的基础上增加了对保密性的要求，要求用密码技术实现通信传输的保密性。
• 可信验证
  　　基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，同时对报文转发流程等关键执行环节进行动态可信验证处理，对检测到的异常事件进行实时告警，同时将异常事件上送日志审计中心进行事后统一审计。

安全区域边界

　　从加强网络边界的访问控制粒度、网络边界行为审计以及保护网络边界完整等方面：提升网络边界的可控性和可审计性。区域边界的安全主要包括边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、以及安全审计等几个方面。下面将从这几维度介绍安全区域边界的通用要求。

• 边界防护
  　　边界的检查是最基础的防护措施，首先在网络规划部署上要做到流量和数据必须经过边界设备，并接受规则检查，其中无线网络的接入也需要经过边界设备检查，因此不仅需要对非授权设备私自联到内部网络的行为进行检查，还需要对内部非授权用户私自联到外部网络的行为进行检查，维护边界完整性。
  　　等保二级只强调了跨区域边界通信要通过受控接口通信，等保三级在等保二级基础上增加了对设备接入内网和内部用户访问外部网络的行为进行检测或限制，同时强调无线网络接入内网时要做好边界防护，
• 访问控制
  　　企业网络根据业务的重要程度，业务类型等可划分为不同的网络信任域，对于各类边界最基本的安全需求就是访问控制，对进出安全区域边界的数据信息进行控制，阻止非授权及越权访问。
  　　等保二级的访问控制只要求部署网络层粒度的访问控制，等保三级在等保二级的基础上增加了应用层粒度的访问控制要求。
• 入侵防范
  　　各类网络攻击行为既可能来自于大家公认的互联网等外部网络，在内部也同样存在。通过采取相应的安全措施，主动阻断针对信息系统的各种攻击，例如病毒、木马、间谍软件、可疑代码、端口扫描、DoS/DDoS 等，实现对网络层以及业务系统的安全防护，保护核心信息资产免受攻击危害。
  　　等保二级只要求防范外部对内部发起的网络攻击，等保三级在等保二级的基础上增加了防范内部到外部的网络攻击，并且要具备未知威胁检测能力，要把所有的威胁记录下来，同时对于严重入侵威胁要具备报警能力。
• 恶意代码和垃圾邮件防范
  　　如今，蠕虫病毒泛滥，有些蠕虫病毒还能与黑客技术相结合，这将产生更大的危害。与此同时，计算机病毒的传播途径也发生了很大的变化，更多的以网络(包括 Internet、广域网、局域网)形态进行传播。同时垃圾邮件日渐泛滥，不仅占用带宽、侵犯个人隐私，同时也成为黑客入侵的工具，传统的安全防护手段已无法应对这些威胁。因此迫切需要网关型产品在网络边界上对病毒及垃圾邮件予以清除。等保二级只对恶意代码防范做了要求，等保三级增加了垃圾邮件的防范要求
• 安全审计
  　　在安全区域边界需要建立必要的审计机制，对进出边界的各类网络行为进行记录与审计分析，可以和主机审计、应用审计以及网络审计形成多层次的审计系统。并可通过安全管理中心集中管理。
  等保二级要求在关键节点对所有用户行为和安全事件进行审计，等保三级在满足等保二级要求的基础上，重点强调对远程接入内网的用户和访问互联网的用户进行单独审计。
• 可信验证
  　　基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，同时对访问控制等关键执行环节进行动态可信验证处理，对检测到的异常事件进行实时告警，同时将异常事件上送日志审计中心进行事后统一审计。等保二级和等保三级均要求可信验证，等保三级额外增加了在应用程序的关键环节增加动态可信验证的功能。
  　　针对云计算场景、移动互联场景、物联网场景、工业控制场景，安全区域边界在通用要求的基础上增加了安全扩展要求。

　　云计算场景:应具备在虚拟化网络边界实施访问控制的能力，应具备虚拟化网络边界、虚拟机与宿主机、虚拟机之间的入侵防御能力，同时云平台对云租户的操作可被租户审计。
　　移动互联场景:有线网络和无线网络边界要通过无线接入网关设备，边界防护设备等隔离，应对无线接入设备进行准入控制，防止非授权无线接入设备接入。
　　物联网场景:应对感知设备进行准入控制，防止非授权感知设备接入网络，同时设置访问控制规则只允许感知设备访问物联网平台等。
　　工业控制场景:应在工业控制网络边界部署访问控制设备防止E-Mail、Web 等传统 IT 业务进入到工业控制网络，对于拨号和无线接入应采用强准入技术防止非授权接入。

安全计算环境

　　计算环境安全是整个安全建设的核心和基础。计算环境安全通过设备、主机、移动终端、应用服务器和数据库的安全机制，保障应用业务处理全过程以及数据的安全。系统终端和服务器通过在操作系统核心层和系统层设置以强制访问控制为主体的系统安全机制，形成严密的安全保护环境，通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性，从而为业务系统的正常运行和免遭恶意破坏提供支撑和保障。
　　计算环境的安全主要包括:身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性与保密性、数据备份与恢复、剩余信息保护、个人信息保护等方面。下面将从这几维度介绍安全计算环境的通用要求。

• 身份鉴别
  　　身份鉴别包括主机和应用两个方面。用户登录主机操作系统、数据库以及应用系统时均需要进行身份验证，其中口令要满足一定的复杂度，并定期更换。同时在认证过程中，需要使用两种或两种以上的鉴别技术对管理用户进行身份鉴别。当进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听。等保二级要求对身份进行识别和鉴别，等保三级在等保二级的基础上要求身份鉴别要采用两种或两种以上组合的鉴别技术。
• 访问控制
  　　用户登录系统时，应根据系统类别的不同，分配不同的账号和权限，对于不同的用户授权原则是进行能够完成工作的最小化授权，避免授权范围过大。并严格限制默认账户的访问权限，重命名默认账户，修改默认口令;及时删除多余的、过期的账户，避免共享账户的存在。
  　　等保二级要求对用户账户做账户加固以及对用户权限做权限管控，等保三级在二级的基础上强调权限分配要有授权主体去做，权限粒度也要更精细，对重要的主体和客体要采用安全标记技术。
• 安全审计
  　　计算环境的安全审计包括多层次的审计要求。对于服务器和重要主机需要进行严格的行为控制，对用户的行为、使用的命令等进行必要的记录审计，便于日后的分析、调查、取证，规范主机使用行为。而对于应用系统同样提出了应用审计的要求，即对应用系统的使用行为进行审计。合理的安全审计能够为安全事件提供足够的信息。安全审计需要借助统一的管理平台。对于计算机环境，虽然很多问题会在系统的安全管理过程中显示出来，包括用户行为、资源异常、系统中安全事件等，但由于计算机环境复杂，没有统一的管理平台展示、分析、存储，可能导致安全事件遗漏，给系统安全运维带来不必要的风险。等保二级和三级都对审计做了要求，在审计的范围、内容和保存上做了要求，等保三级额外增加了对审计系统自身安全的要求，要防止审计进程被未授权阻断。
• 入侵防范
  　　在企业内业务系统的计算环境中，由于缺少入侵防御能力，无法主动发现现存系统的漏洞。如系统是否遵循最小安装原则，是否开启了不需要的系统服务、默认共享和高危端口，应用系统是否对数据做有效性校验等。面对企业网络的复杂性和不断变化的情况，依靠人工经验寻找安全漏洞、做出风险评估并制定安全策略是不现实的，应对此类安全风险进行预防，预先找出存在的漏洞并进行修复。等保二级要求对系统做安全加固、漏洞检测和修复、输入内容白名单校验以及管理终端白名单控制等提出了要求，等保三级在等保二级的基础上增加了对重要节点入侵行为检测的能力，并要求在发生重要入侵事件时能够报警。
• 恶意代码防范
  　　病毒、蠕虫等恶意代码是对计算环境造成危害最大的隐患，当前病毒威胁非常严峻，特别是蠕虫病毒的爆发，会立刻向其他子网迅速蔓延，发动网络攻击和数据窃密。大量占据正常业务十分有限的带宽，造成网络性能严重下降、服务器崩溃甚至网络通信中断，信息损坏或泄露，严重影响正常业务开展。因此必须部署恶意代码防范软件进行防御，同时保持恶意代码库的及时更新。此控制点中等保二级和等保三级要求一致。
• 可信验证
  　　基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和计算应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和计算应用程序等进行可信验证，同时对数据库访问及存储等关键执行环节进行动态可信验证处理，对检测到的异常事件进行实时告警，同时将异常事件上送日志审计中心进行事后统一审计。等保二级和等保三级均要求可信验证，等保三级额外增加了在应用程序的关键环节增加动态可信验证的功能。
• 数据完整性和保密性
  　　数据是信息资产的直接体现。所有的措施最终都是为了业务数据的安全。因此数据的备份十分重要，是必须考虑的问题。应采用校验技术或密码技术保证重要数据在传输和存储过程中的完整性以及保密性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。此控制点中等保二级和等保三级要求一致。数据备份恢复应具有异地备份场地及备份环境，并能提供本地、异地数据备份与恢复功能。在异地备份的数据应能利用通信网络将重要数据实时备份至备份场地。此控制点中等保二级和等保三级要求一致。
• 剩余信息保护
  　　对于正常使用中的主机操作系统和数据库系统等，经常需要对用户的鉴别信息文件、目录、数据库记录等进行临时或长期存储，在这些存储资源重新分配前，如果不对其原使用者的信息进行清除，将会引起原用户信息泄漏的安全风险，因此，需要确保系统内的用户鉴别信息、文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。此控制点中等保二级只对鉴别信息做了要求，等保三级增加了敏感数据的要求。
• 个人信息保护
  　　个人信息的保护不是为了限制个人信息的流动，而是要对个人信息的流动进行正规的管理和规范，以保证能符合信息主体同意的目的，保持信息的正确、有效和安全。保证个人信息能够在合理、合法的状态下流动。此控制点中等保二级和等保三级要求一致。针对云计算场景、移动互联场景、物联网场景、工业控制场景，安全计算环境在通用要求的基础上增加了安全扩展要求。
  　　云计算场景:访问控制，入侵防御、镜像和快照等方面应具备支持虚拟机场景的能力，同时在数据安全方面云平台应具备在传输，存储，清除等方面为云服务租户提供对应安全能力。
  　　移动互联场景:应具备针对移动终端防护和管控能力。
  　　物联网场景:增加了对感知节点设备和网关节点设备的安全加固要求，同时对于任何连接的设备和人员全部要做身份鉴别，保障只允许授权用户访问和数据转发，应用系统要具备防重放功能。
  　　工业控制场景:增加了对控制设备自身的安全加固要求，应使用专用设备和专用软件对控制设备进行加固和更新，设备上线前要做安全性测试。

安全管理中心

　　安全管理中心是安全技术体系的核心和中枢，针对系统的安全计算环境、安全区域边界和安全通信网络三个部分的安全机制，形成一个统一的安全管理中心，实现统一管理、统一监控、统一审计。主要包括:系统管理、审计管理、安全管理、集中管控四个方面。下面将从这几维度介绍安全管理中心的通用要求。

• 系统管理
  　　对系统管理员进行身份鉴别，并通过系统管理员进行适当的管理和配置此控制点中等保二级和等保三级要求一致。
• 审计管理
  　　对审计管理员进行身份鉴别，并通过审计管理员对审计记录进行分析和处理，此控制点中等保二级和等保三级要求一致。
• 安全管理
  　　对安全管理员进行身份鉴别，并通过安全管理员对系统中的安全策略进行配置。等保二级无此控制点要求，等保三级独有要求。
• 集中管控
  　　对系统中的网络设备，安全设备和服务器等进行集中监控和管理，并对网络中的安全事件进行识别、分析和报警。等保二级无此控制点中要求，等保三级独有要求。针对云计算场景、物联网场景，安全管理中心在通用要求的基础上增加了安全扩展要求。
  　　云计算场景:确保云服务商和云服务客户的管理流量分离，并实现各自的集中管控。
  　　移动互联场景:不涉及。
  　　物联网场景:针对感知节点具备端到端全生命周期管理
  　　工业控制场景:不涉及。

来源：小石学习笔记