WAFWeb 应用防火墙等保二级对 WAF 的核心要求集中在“安全区域边界”的入侵防范和访问控制层面。测评时重点考察三项能力攻击检测与阻断必须覆盖 SQL 注入、XSS 跨站脚本、命令注入等常见 Web 攻击类型。二级系统使用基础 WAF 防护即可达标不强制要求硬件设备。自研 WAF 需要能提供规则命中记录证明攻击被实际拦截。访问控制支持基于 IP、URL、请求特征的访问控制策略。自研 WAF 如果具备 IP 黑白名单、地域封禁、URL 级精细化控制等功能在这一项上可以满足。日志留存攻击日志必须留存不少于 6 个月这是等保二级的硬性要求也是测评中最容易失分的项。日志需记录攻击源 IP、攻击类型、攻击时间、处理动作等字段。日志审计服务日志审计在等保二级中属于强制部署项无变通空间是测评和复测的核心必查项扣分率仅次于弱口令。核心要求包括审计覆盖范围需覆盖到每个用户对重要的用户行为和重要安全事件进行审计。审计对象应涵盖网络设备、安全设备、服务器、数据库、业务系统的运行与操作日志。审计记录字段至少包含事件的日期和时间、用户、事件类型、事件是否成功以及攻击源 IP、攻击目的等关联信息。日志保护与防篡改审计记录需定期备份避免受到未预期的删除、修改或覆盖。这是自研方案最容易出问题的环节。留存期限不少于 6 个月180 天。《网络安全法》和等保 2.0 对此有双重规定。自研安全产品在等保测评中的资质问题这是自研方案与采购商用产品之间最关键的差异点。商用安全产品的资质路径市面上销售的 WAF 和日志审计产品通常需要具备以下资质中的一项或多项作为产品“经过国家认可”的证明《计算机信息系统安全专用产品销售许可证》公安部颁发曾是安全产品的强制准入资质。但自 2023 年 7 月 1 日起已停止颁发此前已获得的产品在有效期内仍可继续销售或提供。《网络安全专用产品安全检测证书》或安全认证证书销售许可证停发后34 类网络安全专用产品转向“安全认证与安全检测双轨制”。EAL 等级测评证书如 EAL3 或 EAL4部分招标项目会明确要求。ISO 27001 / ISO 9001 / CMMI 等体系认证大型采购项目中常作为供应商准入门槛。自研产品面临的现实自研 WAF 和日志审计服务如果仅用于自身等保合规而不是对外销售法律上并不强制要求上述产品资质。等保测评的核心逻辑是测评师需要确认这个安全措施是“有效且可信的”。对于采购的商用产品资质证书是“可信”的现成证明对于自研产品则需要用功能证据来替代。测评师在审查自研安全组件时通常会关注是否有软件著作权登记证书证明这是公司自主开发的正式产品而非临时脚本是否有内部安全测试报告或渗透测试报告证明产品本身经过了安全验证是否有完整的部署文档、配置说明和运维记录证明产品在正式环境中稳定运行功能截图和日志样本是否能够逐条对应等保测评项的要求。实际上有安全厂商本身就是通过自研 WAF、日志审计等产品并持有 CMA、CCRC、ITSEC 等权威资质来证明其产品可以满足政企的监管审查要求。如果自研产品未来有对外销售的可能提前完成网络安全专用产品安全检测或安全认证会显著降低等保测评中的沟通成本。自研方案需要重点补齐的合规短板结合之前的讨论自研 WAF 日志审计在等保二级中有几个高频失分点需要提前处理第一日志防篡改机制的证明。等保要求审计记录“避免受到未预期的删除、修改或覆盖”。自研日志审计如果直接存储在自建数据库或文件系统中测评师会追问谁有权删除日志删除操作本身是否被记录务实做法是将自研日志审计系统的日志同步外送到一个独立的、只读的存储介质如对象存储的合规保留桶、独立的日志服务器并在测评时展示外送机制和保留策略的配置截图。第二WAF 的“阻断”模式证明。测评要求 WAF 设置为阻断模式而非仅观察模式。自研 WAF 需要提供规则命中后实际阻断请求的日志记录而不仅仅是告警日志。攻击日志中应能体现“处理动作 阻断/拦截”的字段。第三日志审计自身的审计。这是一个容易被忽略的递归问题日志审计系统本身的管理操作登录、配置变更、日志导出是否也被审计等保测评中审计系统自身的行为通常也需要被记录否则测评师会质疑审计链的完整性。自研方案需要在架构设计时就考虑这一点。第四与安全管理中心的联动证据。等保二级虽不强制要求建设安全管理中心但 WAF 和日志审计的告警/日志如果能够推送到一个统一的安全管理平台即使是一个简单的 Syslog 汇聚 告警邮件在测评中会显著增强“安全措施形成体系”的说服力。自研方案应至少支持标准 Syslog 或 API 方式将关键事件外送。一句话总结自研 WAF 和日志审计在等保二级中走得通前提是功能证据链完整、日志防篡改机制可信、且能向测评师清晰展示“这套自研组件本身就是经过验证的安全措施”。与采购商用产品相比自研方案省下了产品采购成本但换来的代价是你需要自己承担“向测评师证明产品可信”的全部举证工作。这项工作做扎实了自研路径在成本控制上的优势是真实的做不扎实测评阶段的沟通成本和返工风险会抵消掉节省的费用。