等保2.0实战：如何用最低成本满足"网络流量留存180天"要求

网络安全等级保护2.0（以下简称"等保2.0"）在通信传输和安全审计方面，对网络流量留存提出了明确要求。很多企业在整改过程中发现，这一条往往比防火墙、防病毒更难处理——不是技术难，而是方案选型复杂、成本不透明。

本文从工程实践角度出发，梳理等保2.0对流量留存的具体要求、常见整改方案的优缺点，以及如何用最低成本落地。

---

等保2.0对"流量留存"的具体要求是什么？

等保2.0三级标准在"安全审计（AU）"和"入侵防范（SC）"两个控制点上，分别对流量记录有所涉及：

安全审计 a.c 条款（网络审计）：

“应对网络流量进行审计，留存网络访问日志不少于6个月（180天）。”

入侵防范 a 条款：

“应在网络边界处（如互联网出口）对流量进行检测，记录攻击行为及连接信息。”

也就是说，合规的最低门槛是：

1. 保留180天的网络访问记录（五元组：源IP、目的IP、协议、源端口、目的端口）
2. 能够在安全事件发生后，提供可回溯的流量证据

注意：合规要求的是"留存记录"，不一定要留存全量原始报文（PCAP）。这给了中小机构大量的选择空间。

---

常见整改方案及其真实代价

方案一：购买安全大厂的"态势感知平台"

这是集成商最常推荐的方案。优点是一套产品能覆盖等保多个控制点，报告美观，项目好验收。

真实代价：

• 价格区间：30万 ~ 100万+
• 部署：需要改造网络架构，通常需要串接引流设备
• 对人的要求：需要专人运营，否则就是一个每天产生告警却没人看的大屏
• 适合对象：有专职安全团队的大型企业/事业单位

对于医院信息科只有2-3人、高校网络中心只有4-5人的团队，这类方案往往买了也用不起来。

---

方案二：防火墙日志 + 上网行为管理（最常见的凑合方案）

大多数机构的现有防火墙都支持会话日志记录，结合上网行为管理设备的流量审计功能，理论上可以满足"六元组记录"的要求。

真实代价：

• 价格：通常不需要额外采购（利用现有设备）
• 问题1：防火墙日志只有五元组（连接级），没有应用层数据，事后分析能力极弱
• 问题2：日志存储量大，180天日志体积动辄几百GB甚至TB级别，本地硬盘往往不够
• 问题3：当真正发生安全事件需要回溯时，防火墙日志很难提供"是什么内容"的证据

结论：能过检查，但遇到真实安全事件时往往找不到根因。

---

方案三：部署独立的全流量采集设备（工程师的选择）

在网络镜像口旁路部署一台全流量采集设备，持续采集并留存原始报文或精简元数据。这是真正能提供"事后回溯能力"的方案。

典型参数（以某中型医院为例）：

• 网络出口带宽：1Gbps
• 日均流量：约100GB（内外网合计）
• 180天存储需求：约18TB原始报文，或约1-2TB的流量元数据

可行性：

• 元数据模式（只留五元组+时间戳+字节数）：18TB 压缩后约 1~2TB，普通服务器+大容量硬盘可承载
• 全包模式：18TB 完整报文，需要专用存储；成本较高但事后溯源能力强

部署要点：

1. 在核心交换机（或出口路由器）上配置端口镜像（SPAN）
2. 流量引流到采集设备（旁路，不影响正常业务）
3. 设备配置循环存储，自动覆盖180天以前的数据

这个方案的核心优势是：旁路部署、不影响业务、即使设备异常也不会中断网络。

---

如何低成本实施全流量留存？

对于中小机构（医院、高校、中小企业），有几种成本可控的方式：

选项A：开源软件方案（适合有Linux经验的团队）

ntopng + PF_RING 的组合，可以在普通服务器上实现高速流量采集。优点是成本低（硬件5万以内），缺点是需要自行配置和维护，对技术能力有要求。

选项B：商业化全流量分析仪（适合希望开箱即用的团队）

类似 AnaTraf 这类产品，提供完整的流量采集+存储+分析+PCAP导出功能，界面直观，无需专业安全知识即可操作。

AnaTraf 有免费的社区版（支持 KVM/VMware 部署），可以先在测试环境部署验证，确认满足需求后再考虑正式采购。对于需要满足等保整改且IT团队不大的机构，这类工具化产品比大型态势感知平台更实用。

---

验收时测评机构通常怎么检查这一项？

测评机构在现场核查时，通常会要求：

1. 展示流量审计日志界面，确认有源IP、目的IP、协议、端口、时间戳字段
2. 查询指定时间范围内的历史记录，验证确实保存了超过180天的数据
3. 询问日志备份和导出方式

如果你能打开一个界面，输入一个时间范围，立刻查到6个月前某IP的访问记录，这一项基本就能通过。

---

总结

等保2.0的流量留存要求，本质上是"要有记录、要能查"，而不是"一定要用某种特定产品"。

整改建议优先级：

1. 先确认现有防火墙日志的保留周期和查询能力
2. 如果防火墙日志不满足（如存储周期不足180天、无法按IP查询），补充一台流量审计设备
3. 如果有安全事件回溯需求（医疗、金融等），考虑全包存储方案

不必一步到位购买昂贵的大平台，可以从满足合规要求的最小方案开始，再根据实际需求扩展。

---

你们单位在等保整改中遇到过哪些坑？欢迎评论交流。