等保三级主机安全测评：身份鉴别与访问控制实战指南

做网络安全等级保护测评这些年，我有个很直观的感受：主机安全永远是等保三级项目里扣分密度最高、整改周期最长的一块。而主机安全七八个测评点中，身份鉴别又是被卡得最狠的关口——尤其是“双因素认证”“登录失败处理”“远程管理加密”这三条，基本上十台被测服务器里有六七台都不达标。这篇文章就围绕主机安全（三级）测评来写，重点把身份鉴别相关的逻辑讲透，顺便把访问控制、安全审计、入侵防范这些连带考点一并过一遍。适合正要报测评的单位运维，也适合刚入行的测评人员对照着梳理检查项。

1. 主机安全（三级）测评的整体思路与关键逻辑

1.1 主机安全为什么是等保三级里的“重灾区”

实际工作中，很多单位在网络层面舍得投入，防火墙、上网行为管理、核心交换机都做得不错，但一到主机层面就露馅。原因很简单：网络设备是“买来即用”，主机却是一台台从老环境迁移过来的，里面积攒了各种历史账户、临时脚本、默认配置，很多服务器自装机那天起就没做过加固。等保三级测评里，主机安全控制点数量多且都要求“应”实现，任何一项不符合都会形成风险项，尤其身份鉴别类问题很容易被定性为高风险，直接影响最终测评结论。

我在测评时最怕遇到那种“业务重要但历史包袱极重”的服务器：一台机器上跑了三四个业务系统，运维账号二十几个，谁都能登root，审计日志老早就被循环覆盖。这种环境不是靠买一台新设备能解决的，必须逐台梳理、逐项整改。主机安全之所以是重灾区，就是因为它不光是技术问题，更考验单位对账号、权限、日志这些“日常琐事”的管理颗粒度。

1.2 三级主机安全的测评依据与控制点

等级保护2.0标准里，主机安全对应的是“安全计算环境”中的主机部分，核心依据是GB/T 22239-2019。三级系统的主机安全主要覆盖以下控制点：

这个表不是标准原文，是我按测评实操整理的重点。对测评人员来说，身份鉴别永远是检查流程的第一步，因为它决定了后面的访问控制、审计是否有意义。身份都验证不了，后面全是空谈。

1.3 从“身份”到“行为”的主机安全链路

我习惯把主机安全理解成一条流水线：身份标识（你是谁）→身份鉴别（怎么证明是你）→访问控制（你能干什么）→安全审计（你干了什么）→入侵防范（有没有人在搞破坏）→恶意代码防范（有没有木马在跑）。身份鉴别是这条流水线最前端的闸口，前端一旦失效，后面所有安全措施都等于在给一个未知身份的人开门。

等保三级为什么对身份鉴别提那么高要求？因为三级系统本身价值高、影响面大，攻击者一旦拿到合法身份，比花力气挖漏洞省事得多。我一个做应急响应的朋友说过，大量服务器被入侵的起点就是弱口令撞库或账号共用，而不是什么高深漏洞。所以这篇博文把“身份”两个字放在标题C位，不是没道理