第 19 章 · 安全配置
适用对象：安全管理员、备份管理员 · 阅读约 14 分钟 · 对应产品界面版本 v1.2.0
这一章是一份安全基线与评审口径，不是产品默认值清单。备份系统握着全环境的数据副本，它自身的加固程度决定了勒索场景下还剩多少可用的退路。下面每一节都给出应该确认什么、怎么验证，以及哪些结论在拿到产品侧书面材料之前不能写进验收报告。
读完这一章你会做：
- 列出一份安全配置的核查清单，知道每一项该向产品侧要什么材料
- 理解加密口令丢失的后果，并据此设计密钥的保管与备份方式
- 区分「应用层只读」和「存储层不可变」，不把前者当成防勒索能力
- 用等保 2.0 条款对照表组织一次安全评审，并按验证记录表留证
源文档中 SupDRC 的实际取值（TLS 版本与套件、静态加密算法与默认值、是否提供 WORM、日志防篡改能力等）全部标注为待产品侧确认，正文给出的是行业通用做法与评审骨架。在拿到书面材料或完成现场实测之前，不得以「界面上有这个入口」直接判定为「该项已满足」。
要覆盖哪些面
| 控制面 | 本手册对应位置 |
|---|---|
| 身份鉴别与访问控制 | 第 18 章，本章第 2 节给出安全侧要求 |
| 通信保护 | 本章「管理面与传输」 |
| 数据保护与密钥管理 | 本章「静态加密与密钥」 |
| 防勒索 | 本章「不可变与离线副本」 |
| 安全审计 | 本章「审计日志」 |
| 漏洞与补丁管理 | 本章「漏洞与补丁」，实施步骤见第 16 章 |
身份鉴别与访问控制
账号、角色、数据范围、双因素与统一身份认证的操作方法在第 18 章，这里只列安全侧必须确认的项：
| 项目 | 要确认什么 |
|---|---|
| 身份来源 | 支持哪些身份源（本地 / AD / LDAP / OIDC / SAML / CAS / RADIUS），各自支持的版本 |
| 账号同步 | 外部账号停用或离职时，本系统的同步方式与生效延迟 |
| 登录限制 | 登录失败锁定阈值、登录超时自动退出、密码有效期与复杂度的默认值与可配置范围 |
| 访问来源限制 | 是否支持管理面 IP 黑白名单 |
| 双因素 | 是否原生支持，支持哪些因素类型，备用恢复方式 |
| 最小权限 | 控制台账号、服务器连接凭证、备份存储访问、支持临时账号四类身份是否分别管理 |
| 高风险操作 | 删除还原点、覆盖恢复、加密与授权变更是否有审批或二次确认机制 |
交付时常见的做法是所有人共用一个管理员账号，事后再补权限。这会让审计链路从一开始就断掉。按职责和资源范围分账号，定期复核闲置与过度权限。
管理面与传输
HTTPS
管理平台对浏览器提供 HTTPS 访问，默认端口 443/TCP。如果 80 端口也已放开，访问 HTTP 会自动跳转到 HTTPS；否则需要手工输入 https://<管理平台地址>。
安全基线核对项：
| 项目 | 基线要求 | 说明 |
|---|---|---|
| TLS 版本 | 只启用 TLS 1.2 / 1.3 | 禁用 SSLv2/v3、TLS 1.0/1.1 |
| 加密套件 | 优先 ECDHE + AES-GCM；国密场景用 SM 系列套件 | 关闭 RC4、3DES 及 CBC 弱套件 |
| 证书类型 | 企业内部 CA 或公网 CA 签发；国密场景用 SM2 双证书 | 证书需覆盖实际访问的域名或地址 |
| 证书替换 | 需要界面或命令行的替换入口 | 替换后通常需重启 Web 服务 |
| 证书到期 | 到期前告警，建议提前 30 天更换 | 纳入日常巡检项，见第 11 章 |
| 管理面加固 | 关闭弱协议，按需启用 HSTS，限制访问来源 | 配合 IP 白名单或堡垒机 |
各通道加密
备份系统的通信分成管理面和数据面两条线。管理面走 HTTPS 是通例，数据面是否加密、用什么算法，需要逐条确认。
| 通道 | 需要确认的内容 |
|---|---|
| 浏览器 → 管理平台 | TLS 版本与证书体系 |
| 管理平台 → 数据获取器 | 是否默认加密、使用什么协议 |
| Agent → 数据获取器 | 是否有加密传输开关，默认是开还是关 |
| 数据获取器 → 数据存储库 | 存储服务通道是否加密 |
| 管理平台 → 许可证服务器 | 是否走 HTTPS |
| 日志外发 → Syslog 服务器 | 是否支持 TLS over TCP |
端口与方向见附录 B。
如果某条数据通道默认不加密，备份数据在这段链路上是明文传输的。要么开加密，要么用专线或 IPSec 把这段链路隔离，并在安全方案里写明选择了哪一种。
静态加密与密钥
算法
备份数据落盘的加密算法、加密粒度（备份集级 / 存储库级 / 介质级），以及加密与压缩、去重的先后顺序，都需要向产品侧确认。这三件事互相影响：加密如果发生在去重之前，去重率会显著下降。
同一件事在不同源文档里写法不一致：一处写「支持 AES-256 与国密 SM4」，一处写「参考 AES-256 与 SM4」，一处写「行业通用为」，还有一处写「仅见配置入口、效果未验证」。这四种说法并列陈述，本手册不替产品做选择。第 2 章已按同样口径处理。在产品侧给出书面结论之前，不要把其中任何一种当成 SupDRC 的既有能力写进方案或验收材料。
下表是备份产品在这个位置上可能出现的算法及其用途，用于评审提问，不表示 SupDRC 已支持其中任何一项：
| 算法 | 类型 | 典型用途 |
|---|---|---|
| AES-256 | 对称加密 | 备份数据静态加密 |
| SM4 | 对称加密（国密） | 国密合规场景的静态加密 |
| RSA | 非对称加密 | 传输密钥协商与签名 |
| SM2 | 非对称加密（国密） | 国密传输协商与签名 |
| SHA-256 / SM3 | 摘要校验 | 备份集完整性校验 |
这三种摘要不抗碰撞，可以用来发现传输错误，不能用来证明数据没有被篡改。防篡改场景要用 SHA-256 或 SM3。
密钥丢失的后果
这是本章唯一一条不依赖产品实现的硬结论：加密口令一旦丢失，密文数据在数学上不可还原。产品手册里也明确提示，配置了自定义加密密码之后必须妥善保管，密码遗忘则备份数据无法恢复。
| 密钥 / 口令类型 | 丢失后果 | 是否可恢复 | 补偿措施 |
|---|---|---|---|
| 备份数据加密口令 / 主密钥 | 对应备份数据不可解密，等同于数据丢失 | 一般不可恢复 | 离线托管密钥副本、密封保管、双人控制 |
| 密钥管理服务主密钥 | 依赖该密钥的全部数据不可解密 | 视是否启用托管或备份而定 | 定期导出密钥材料并异地保管 |
| 凭证加密密钥 | 只影响已保存的凭证，需要重新录入 | 可恢复 | 重新录入凭证并复核引用关系 |
| 平台管理员口令 | 无法登录管理平台 | 可由其他管理员重置 | 保留至少两个可用的管理员账号 |
| HTTPS 证书私钥 | 证书失效，浏览器告警 | 可恢复 | 重新签发并替换证书 |
| 注册令牌 / 引导密钥 | 新主机无法注册，不影响既有数据 | 可恢复 | 重新签发令牌并在有效期内使用 |
把备份加密口令当成普通配置项填进工单或运维表格，等于把全量备份数据的开关放在一个没有保管制度的地方。口令必须走离线托管、密封保管、双人控制，并与备份数据分开存放。
密钥管理五个环节
| 环节 | 要求 |
|---|---|
| 生成 | 按批准的算法与长度生成，记录生成时间与责任人 |
| 存储 | 与备份数据分离存放，限制访问范围 |
| 备份 | 独立备份一份并异地保管，定期验证可读 |
| 轮换 | 轮换后必须验证新备份可恢复；保留仍被历史备份依赖的旧密钥 |
| 销毁 | 销毁前核对全部依赖关系与保留义务，留销毁记录 |
密钥保管人与备份数据访问权限要分离。包含解密密钥的恢复介质 ISO 按敏感介质管理，加密存放并登记借用记录。
凭证加密
主机、存储、域服务器等凭证应由管理端加密持久化，界面只做掩码显示，不提供明文导出。凭证使用独立的密钥加密，与备份数据加密密钥分离。凭证的新增、修改与删除都要写入审计日志——运维人员只能引用凭证，不能查看明文。
不可变与离线副本
应用层只读 ≠ 存储层不可变
这是防勒索方案里最容易出错的一点。
| 机制 | 防住什么 | 防不住什么 |
|---|---|---|
| 应用层只读 / 存储保护开关 | 备份系统以外的程序修改备份数据；误删 | 通过备份系统自身发起的删除；管理员权限被窃取后的清理 |
| 存储层 WORM / 对象锁定 | 保留期内任何账号（含管理员）的删除与修改 | 密钥丢失、副本只有一份等其他风险 |
只开了应用层的「存储保护」，攻击者拿到管理员凭据后仍可以通过平台自身删除备份。真正的防勒索需要存储侧也开启不可变能力。
保留锁定
保留锁定（Retention Lock / Object Lock）在保留期内禁止删除或修改数据，通常与保留策略配合，分两种模式：
| 模式 | 行为 |
|---|---|
| 合规模式 | 保留期内任何账号（含管理员）都不能删除数据或缩短保留期 |
| 治理模式 | 具备特定权限的账号可以在审批留痕后提前解除 |
落地前要明确：默认是哪种模式、特权账号的范围、提前解除的审批流程、锁定与解除与到期三类事件的审计证据。
离线副本
离线副本是把可恢复的数据连同必要的元数据、密钥材料，按受控方案保存到独立故障域，并在非使用期与生产访问隔离。
在线的第二份副本仍然在同一个可达网络里，勒索软件能到达第一份就能到达第二份。离线副本要有介质编号、保管、交接、可读性检查和恢复演练制度，演练口径见第 15 章。
审计日志
「不可篡改」需要几层一起做
| 层级 | 做法 | 作用 |
|---|---|---|
| 应用层 | 日志只追加，界面不提供修改入口 | 防误改与普通越权 |
| 文件与权限 | 日志文件只读、目录权限收敛、独立运行账号 | 防本机篡改 |
| 存储层 | WORM 或一次写入介质 | 防管理员级删除 |
| 完整性 | 哈希链或数字签名 | 可检测历史篡改 |
| 外发集中 | Syslog / SIEM 实时外发，断链告警 | 日志与业务系统分离 |
| 时钟 | NTP 统一时钟 | 多源日志可关联 |
| 留存 | 保留天数、份数、总量上限、写满后的行为 | 满足审计留存要求 |
「前端不能编辑」和「日志不可篡改」是两回事。在安全评审里把前者当成后者，等保测评会直接打回。
留存与删除
系统日志页面可以按节点、按日期下载日志包。留存策略、自动清理周期和删除权限要单独确认。
删除操作一旦执行就无法找回。删除权限要收敛到安全审计角色，并且删除动作本身必须留痕。
外发
日志外发到 SIEM 之前要经审批，并确认四件事：需要哪些事件类型、时间同步是否可靠、保留期限与合规要求、哪些字段属于敏感信息。外发通道要测试断链后的补传行为——断链本身要产生告警，不能静默丢失。
口令、令牌、密钥不得出现在日志正文。对接方式见第 20 章。
漏洞与补丁
| 步骤 | 要求 |
|---|---|
| 资产清单 | 建立组件与版本清单，保持与实际一致 |
| 通告跟踪 | 跟踪产品侧正式发布的安全通告 |
| 影响评估 | 评估影响范围，确定是否必须打 |
| 测试验证 | 在测试环境验证兼容性与恢复能力 |
| 变更准备 | 明确维护窗口、备份、回退方案与审批 |
| 实施 | 按第 16 章的顺序执行 |
| 实施后核对 | 版本、服务、权限、备份、恢复逐项核对，保存验证记录 |
这两种极端都会出事。紧急安全补丁按批准的加急流程走，但测试与审批环节不能省，补丁的分级与通知时限见第 21 章。
等保 2.0 条款对照
这张表用于安全评审与整改跟踪。「配置位置」与「是否满足」两列必须经产品侧书面材料或现场验证后填写。
产品技术资料只能证明配置入口存在。资料不足以判定为「满足」的，一律标注为「待确认」或「部分满足」，并在补偿措施列给出不依赖产品原生能力也能达标的替代做法。
| 条款 | 要求（摘要） | 对应能力 | 当前状态 | 补偿措施 |
|---|---|---|---|---|
| 8.1.2.2 a) | 用校验或密码技术保证通信数据完整性 | 传输通道校验与 TLS 保护 | 待确认 | 启用 TLS，并在网络层增加完整性校验 |
| 8.1.2.2 b) | 用密码技术保证通信数据保密性 | 管理面 HTTPS、数据面传输加密 | 待确认 | 专线或 IPSec 隔离备份网络 |
| 8.1.3.1 | 仅开放必要服务与端口 | 已核查到服务端口存在，清单见附录 B | 部分（端口值已观察） | 防火墙白名单，管理面仅允许运维网段 |
| 8.1.3.2 | 区域间按最小必要原则放行 | 通信方向与端口矩阵 | 待确认 | 按方向配置防火墙策略并留存开通记录 |
| 8.1.3.5 | 对边界重要行为进行审计 | 平台操作日志、Syslog 外发 | 待确认 | 前置防火墙、堡垒机日志纳入统一审计 |
| 8.1.4.1 a) | 用户唯一标识、鉴别信息复杂度与定期更换 | 本地账号与密码策略、域账号 | 待确认 | 由统一身份平台统一下发密码策略 |
| 8.1.4.1 b) | 登录失败处理、超时自动退出 | 登录失败锁定、会话超时 | 待确认 | 堡垒机会话超时与锁定策略兜底 |
| 8.1.4.1 c) | 远程管理防止鉴别信息被窃听 | 管理面 HTTPS 443 | 待确认 | 管理面仅经 VPN 或堡垒机访问 |
| 8.1.4.1 d) | 两种及以上组合鉴别，至少一种使用密码技术 | 双因素认证 | 待确认 | 统一身份平台 MFA、USB Key 或证书登录 |
| 8.1.4.2 a)~f) | 账户与权限分配、默认账户处理、最小权限、权限分离 | 角色权限矩阵，见第 18 章 | 部分（角色入口存在） | 三权分立、按资源范围授权、定期权限复核 |
| 8.1.4.3 a)/b) | 审计覆盖每个用户，记录时间、用户、类型、结果 | 操作日志、登录审计 | 待确认 | 平台日志外发集中留存 |
| 8.1.4.3 c)/d) | 审计记录保护与定期备份，审计进程保护 | 日志留存与清理策略、防篡改 | 待确认 | WORM 存储 + Syslog 外发 + 权限分离 |
| 8.1.4.6 | 对关键设备与程序进行可信验证 | 安装包签名与完整性校验 | 待确认 | 交付前比对官方 MD5 / SHA-256 |
| 8.1.4.7 | 重要数据传输与存储完整性 | 备份集哈希校验 | 待确认 | 定期校验任务 + 校验记录归档 |
| 8.1.4.8 | 重要数据存储保密性 | 静态加密 | 待确认 | 存储层加密与密钥独立托管 |
| 8.1.4.9 a) | 提供本地数据备份与恢复 | 主机保护策略、还原点、文件级与整机恢复入口 | 部分（入口已观察，恢复未实测） | 补充恢复演练记录与业务验证，见第 15 章 |
| 8.1.4.9 b) | 提供异地实时备份 | 副本 / 异地存储库 | 待确认 | 存储层复制或异地介质轮换 |
| 8.1.4.9 c) | 提供热冗余保证系统高可用 | 管理平台高可用 | 待确认 | 虚拟化 HA、主备部署 |
| 8.1.4.10 | 鉴别信息与敏感数据存储空间释放前清除 | 待确认 | 待确认 | 退役介质消磁或销毁流程 |
| 8.1.5.4 | 对安全机制集中管控 | 监控告警中心、日志外发 | 待确认 | 纳入统一监控与 SIEM 平台 |
评审时每条都附截图、配置导出或测试报告作为证据，并登记验证人与日期。
安全验证记录
每条记录对应上表的一条条款，保存可复现的证据文件（截图、配置导出、抓包、测试报告）。
没有执行过的验证项留空，不要预填结果。一条填了「符合」却拿不出证据的记录，比留空更糟。
| 序号 | 验证项 | 对应条款 | 验证方法 | 期望结果 |
|---|---|---|---|---|
| 1 | 管理面 TLS 配置 | 8.1.2.2 b) | 用协议扫描工具检测 443 端口 | 只启用 TLS 1.2/1.3，无弱套件 |
| 2 | 登录失败锁定 | 8.1.4.1 b) | 连续输错口令触发锁定 | 达到阈值后锁定，且可按流程解锁 |
| 3 | 双因素认证 | 8.1.4.1 d) | 管理员登录全流程验证 | 需要第二因素才能登录 |
| 4 | 角色权限边界 | 8.1.4.2 | 用各角色账号尝试越权操作 | 越权操作被拒绝并留痕 |
| 5 | 审计日志完整性 | 8.1.4.3 c) | 尝试修改或删除历史日志 | 无法修改，删除受限且留痕 |
| 6 | 传输加密 | 8.1.2.2 b) | 抓包检查备份数据通道 | 传输内容为密文 |
| 7 | 静态加密 | 8.1.4.8 | 直接读取存储库数据文件 | 数据不可直接识别 |
| 8 | 不可变 / 保留锁定 | 8.1.4.3 c) | 在保留期内尝试删除还原点 | 删除被拒绝 |
| 9 | 备份与恢复 | 8.1.4.9 a) | 抽样主机执行恢复演练 | 数据可用、业务可启动 |
| 10 | 密钥丢失影响 | 8.1.4.8 | 在测试环境验证密钥缺失场景 | 与文档描述一致 |
每项验证由执行人与复核人分别签字。证据文件建议按「条款号-验证项-日期」命名。发现的不符合项转入整改清单跟踪闭环，整改完成后重新验证并更新记录。
第 1、6 两项会在生产网络上产生扫描和抓包行为，需要事先取得授权并约定窗口，抓包文件本身也属于敏感材料，按脱敏要求处理后再归档。
常见问题
开了「存储保护」就能防勒索了吗？ 不能只靠它。存储保护防的是备份系统以外的程序改动备份数据，防不住通过备份系统自身发起的删除。要抗管理员级删除，需要存储侧也具备 WORM 或对象锁定能力。
备份数据加密以后，去重率下降了很多。 加密与压缩、去重的处理顺序会直接影响去重率。这个顺序属于产品实现，需要向产品侧确认；如果加密发生在去重之前，去重率下降是必然结果，容量规划要按加密后的口径重算。
加密口令忘了，能找回吗？ 密文在数学上不可还原。除非事先建立了密钥托管或恢复码机制，否则对应的备份数据等同于丢失。这也是密钥必须独立备份并异地保管的原因。
日志能导出，算满足审计留存要求吗？ 不算。审计留存要求的是记录完整、可追溯、不可篡改。导出只是取证手段的一种，还需要权限收敛、外发集中和时钟统一配合。
等保测评要求提供加密算法证明，界面上截个图够吗？ 不够。界面截图只能证明入口存在。需要产品侧的书面说明，加上现场实测证据（如抓包显示密文、直接读取存储文件不可识别）。