https://www.clearsec.org/wikis/docs/gradeprotection/%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/Recent content in 现场指引 on ClearSec WikiHugozh-cnMon, 24 Aug 2026 00:00:00 +0800https://www.clearsec.org/wikis/docs/gradeprotection/%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E4%B8%8D%E9%80%82%E7%94%A8%E6%8E%A7%E5%88%B6%E7%82%B9%E5%AE%A1%E9%98%85%E7%BB%93%E8%AE%BA/Mon, 24 Aug 2026 00:00:00 +0800https://www.clearsec.org/wikis/docs/gradeprotection/%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E4%B8%8D%E9%80%82%E7%94%A8%E6%8E%A7%E5%88%B6%E7%82%B9%E5%AE%A1%E9%98%85%E7%BB%93%E8%AE%BA/<h2 id="一判定原则">一、判定原则</h2> <ul> <li>本次审阅以 GB/T 28448-2019 三级测评要求的对象边界原则为基础：控制点是否适用，取决于该测评对象是否实际提供对应安全功能、是否实际处理对应数据、是否存在对应管理交互面。</li> <li>若控制能力由统一认证平台、堡垒机、VPN、WAF、日志平台、上层业务系统或操作系统实现，则在中间件/容器单组件脚本中可标记为 <code>【不适用】</code> 或“由上位组件另行测评”，不得简单按缺失判不符合。</li> <li>个人信息保护类控制点仅在测评对象实际收集、存储、展示、传输、导出、共享个人信息时适用。</li> </ul> <h2 id="二已重点标记不适用的对象和控制点">二、已重点标记不适用的对象和控制点</h2> <h3 id="1-tomcat">1. Tomcat</h3> <ul> <li>管理会话超时：未部署 <code>manager/host-manager</code> 时可不适用。</li> <li>个人信息保护 A/B：Tomcat 仅作为运行容器、不直接处理个人信息时可不适用。</li> </ul> <h3 id="2-nginx">2. Nginx</h3> <ul> <li>登录失败处理/会话超时：纯反向代理、无本地登录机制时可不适用。</li> <li>个人信息保护 A/B：仅做代理转发、无个人信息处理和导出能力时可不适用。</li> </ul> <h3 id="3-weblogic">3. WebLogic</h3> <ul> <li>原生双因素：若统一由 IAM、堡垒机、VPN 实现，则 WebLogic 本体可不适用。</li> <li>个人信息保护 A/B：仅作应用容器、不直接处理个人信息时可不适用。</li> </ul> <h3 id="4-websphere">4. WebSphere</h3> <ul> <li>原生双因素：统一由上位平台实现时可不适用。</li> <li>个人信息保护 A/B：仅作应用容器、不直接处理个人信息时可不适用。</li> </ul> <h3 id="5-jboss">5. JBoss</h3> <ul> <li>管理会话超时：未启用管理控制台时可不适用。</li> <li>个人信息保护 A/B：仅作应用容器、不直接处理个人信息时可不适用。</li> </ul> <h3 id="6-docker">6. Docker</h3> <ul> <li>容器内业务账号鉴别：Docker 平台层本体不适用，应转由容器内组件测评。</li> <li>平台账户口令复杂度/锁定：未启用独立平台账号体系、远程 API 和仓库认证时可不适用。</li> <li>个人信息保护 A/B：仅为容器运行平台、不直接处理个人信息时可不适用。</li> </ul> <h3 id="7-redis">7. Redis</h3> <ul> <li>登录失败锁定/会话超时：无人工交互式登录界面时可部分不适用。</li> <li>个人信息保护 A/B：仅用于技术缓存、分布式锁、不承载个人信息时可不适用。</li> </ul> <h3 id="8-kafka">8. Kafka</h3> <ul> <li>人工用户登录失败锁定/会话超时：仅提供 Broker 连接、无人工登录控制台时可不适用。</li> <li>个人信息保护 A/B：消息不含个人信息，且平台无导出共享能力时可不适用。</li> </ul> <h3 id="9-emqx">9. EMQX</h3> <ul> <li>人工用户登录失败锁定/会话超时：仅处理设备连接认证、无人工登录场景时可不适用。</li> <li>个人信息保护 A/B：消息不含个人信息、未启用导出或桥接外发能力时可不适用。</li> </ul> <h3 id="10-apusic-金蝶">10. Apusic-金蝶</h3> <ul> <li>原生登录失败锁定/双因素：统一由外部平台实现时可不适用。</li> <li>个人信息保护 A/B：仅作为运行容器、不直接处理个人信息时可不适用。</li> </ul> <h3 id="11-apache-http-server">11. Apache HTTP Server</h3> <ul> <li>登录失败处理/会话超时：仅作静态发布或代理转发、无本地登录机制时可不适用。</li> <li>个人信息保护 A/B：不直接处理个人信息、未启用 WebDAV/目录共享时可不适用。</li> </ul> <h3 id="12-iis">12. IIS</h3> <ul> <li>登录失败处理/会话超时：仅开放匿名访问或仅作反向代理时可不适用。</li> <li>个人信息保护 A/B：不直接处理个人信息、未启用 WebDAV 或目录共享能力时可不适用。</li> </ul> <h3 id="13-jetty">13. Jetty</h3> <ul> <li>登录失败处理/管理会话超时：未启用独立管理登录界面时可不适用。</li> <li>个人信息保护 A/B：仅作应用运行容器、不直接处理个人信息时可不适用。</li> </ul> <h3 id="14-tongweb">14. TongWeb</h3> <ul> <li>原生双因素/登录失败锁定：统一由外部认证平台实现时可不适用。</li> <li>个人信息保护 A/B：仅作运行容器、不直接处理个人信息时可不适用。</li> </ul> <h3 id="15-rabbitmq">15. RabbitMQ</h3> <ul> <li>若消息不含个人信息，则个人信息保护 A/B 可不适用。</li> <li>若管理控制统一依赖前置平台，则部分身份鉴别增强项按边界补上位平台证据。</li> </ul> <h3 id="16-activemq-artemis">16. ActiveMQ-Artemis</h3> <ul> <li>若消息不含个人信息，则个人信息保护 A/B 可不适用。</li> <li>若无独立人工登录场景，则部分人工登录失败处理类控制按对象边界弱化或不适用。</li> </ul> <h3 id="17-rocketmq">17. RocketMQ</h3> <ul> <li>人工登录失败锁定/会话超时：仅面向客户端连接、无独立人工登录面时可不适用。</li> <li>个人信息保护 A/B：消息不含个人信息、无导出共享能力时可不适用。</li> </ul> <h3 id="18-zookeeper">18. ZooKeeper</h3> <ul> <li>人工登录失败锁定/会话超时：未启用独立人工登录界面时可不适用。</li> <li>个人信息保护 A/B：仅承载协调元数据、注册信息和非个人信息配置时可不适用。</li> </ul> <h2 id="三审阅建议">三、审阅建议</h2> <ul> <li>现场不要直接把“产品原生不支持”写成不适用，必须先写清楚是否由上位平台等效实现。</li> <li>对于“个人信息保护”类项，建议先通过访谈确认该组件是否直接承载个人信息，再决定是否勾选不适用。</li> <li>对于“登录失败处理、双因素、会话超时”类项，建议先确认是否存在独立管理登录界面，再决定是否勾选不适用。</li> </ul> <h2 id="四对应文档">四、对应文档</h2> <ul> <li>所有不适用标记已同步写入 <code>01-主脚本</code> 下各系列主脚本中。</li> </ul>https://www.clearsec.org/wikis/docs/gradeprotection/%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E7%8E%B0%E5%9C%BA%E5%88%A4%E5%AE%9A%E8%AF%9D%E6%9C%AF%E4%B8%8D%E9%80%82%E7%94%A8%E6%8E%A7%E5%88%B6%E7%82%B9/Mon, 24 Aug 2026 00:00:00 +0800https://www.clearsec.org/wikis/docs/gradeprotection/%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E7%8E%B0%E5%9C%BA%E5%88%A4%E5%AE%9A%E8%AF%9D%E6%9C%AF%E4%B8%8D%E9%80%82%E7%94%A8%E6%8E%A7%E5%88%B6%E7%82%B9/<p>适用说明：本文件用于三级等级保护测评现场填写“控制点不适用说明”“访谈记录”“备注口径”。使用时建议先核实对象边界，再选择对应话术，不要直接机械复制。</p> <h2 id="一通用填写模板">一、通用填写模板</h2> <h3 id="模板-1对象无该功能">模板 1：对象无该功能</h3> <ul> <li>判定结论：<code>该控制点对本测评对象不适用。</code></li> <li>现场话术：<code>经现场核查，本测评对象不具备该控制点对应的功能或交互界面，不存在相关账号登录、数据处理、导出共享或管理操作场景，因此该控制点不适用于本对象。</code></li> <li>理由填写：<code>该组件仅承担运行支撑/代理转发/消息传递/缓存等基础能力，不直接提供该项业务或安全功能。</code></li> <li>依据填写：<code>依据 GB/T 28448-2019 三级测评要求，应结合测评对象实际提供的功能、处理的数据及安全边界判定控制点适用性。</code></li> </ul> <h3 id="模板-2控制由上位平台实现">模板 2：控制由上位平台实现</h3> <ul> <li>判定结论：<code>该控制点对本测评对象原生能力不适用，由上位平台或配套系统实现。</code></li> <li>现场话术：<code>经现场核查，该项安全控制不由本中间件/容器组件原生提供，而是由统一身份认证平台、堡垒机、VPN、WAF、日志平台或操作系统等上位控制实现，因此本对象按边界判定不单独适用，相关证据在上位平台补充取证。</code></li> <li>理由填写：<code>控制实现位置不在本组件内，而在系统整体安全架构的其他组件。</code></li> <li>依据填写：<code>依据 GB/T 28448-2019 三级测评要求，支持结合实际实现路径对控制点进行边界判定和等效取证。</code></li> </ul> <h3 id="模板-3对象不处理个人信息">模板 3：对象不处理个人信息</h3> <ul> <li>判定结论：<code>该控制点对本测评对象不适用。</code></li> <li>现场话术：<code>经现场访谈和配置核查，本测评对象不直接收集、存储、展示、导出、共享个人信息，个人信息处理发生在上层业务系统或其他数据处理组件中，因此该个人信息保护控制点不适用于本对象。</code></li> <li>理由填写：<code>该组件仅作为技术支撑平台，不直接形成个人信息处理链路。</code></li> <li>依据填写：<code>依据 GB/T 28448-2019 三级测评要求，个人信息保护类控制点应针对实际处理个人信息的对象判定。</code></li> </ul> <h2 id="二身份鉴别类现场话术">二、身份鉴别类现场话术</h2> <h3 id="1-登录失败处理不适用">1. 登录失败处理不适用</h3> <ul> <li>适用场景：Nginx、Kafka、Redis、EMQX、Docker 平台层等无人工交互式登录界面的对象。</li> <li>推荐话术：<code>经现场核查，本测评对象不存在独立的人工交互式登录界面，不涉及用户登录失败次数限制、账户锁定或登录会话超时等控制场景，因此该控制点对本对象不适用。对象现有接入控制主要通过网络访问边界、协议认证、ACL、主机控制或上位认证平台实现。</code></li> </ul> <h3 id="2-双因素鉴别不适用">2. 双因素鉴别不适用</h3> <ul> <li>适用场景：WebLogic、WebSphere、Apusic、Tomcat、JBoss 等管理入口受堡垒机/VPN/IAM 统一保护的对象。</li> <li>推荐话术：<code>经现场核查，本测评对象未单独提供原生双因素鉴别能力，相关控制统一通过堡垒机、VPN、统一身份认证平台或证书体系实现，因此该控制点在本组件内不单独适用，相关符合性由上位平台另行取证。</code></li> </ul> <h3 id="3-管理会话超时不适用">3. 管理会话超时不适用</h3> <ul> <li>适用场景：Tomcat、JBoss 等已关闭默认管理控制台的对象。</li> <li>推荐话术：<code>经现场核查，本测评对象未启用独立管理控制台或管理页面，现场不存在该组件自有的登录会话，因此与管理会话超时相关的控制点对本对象不适用。</code></li> </ul> <h2 id="三访问控制类现场话术">三、访问控制类现场话术</h2> <h3 id="1-细粒度访问控制不适用">1. 细粒度访问控制不适用</h3> <ul> <li>适用场景：仅提供基础代理、缓存、消息转发能力，不直接面向业务对象实施用户级、记录级控制的对象。</li> <li>推荐话术：<code>经现场核查，本测评对象属于基础技术组件，仅提供代理、缓存、消息转发、运行支撑等能力，不直接面向业务主体和业务数据对象实施用户级、记录级或字段级授权，因此该细粒度访问控制要求不直接适用于本对象，相关权限控制由上层业务系统实现。</code></li> </ul> <h3 id="2-默认账户限制不适用">2. 默认账户限制不适用</h3> <ul> <li>适用场景：对象本身不存在本地登录账户体系。</li> <li>推荐话术：<code>经现场核查，本测评对象不存在可供人工登录使用的本地默认账户体系，因此默认账户禁用或限制访问的控制点对本对象不适用。</code></li> </ul> <h2 id="四个人信息保护类现场话术">四、个人信息保护类现场话术</h2> <h3 id="1-个人信息展示保护不适用">1. 个人信息展示保护不适用</h3> <ul> <li>适用场景：Tomcat、WebLogic、WebSphere、JBoss、Apusic 仅作为运行容器；Docker 仅作为平台层；Nginx 仅作代理；Kafka/EMQX/Redis 不承载个人信息。</li> <li>推荐话术：<code>经现场访谈、配置核查及日志抽查，本测评对象不直接展示个人信息，不提供个人信息查询页面或管理界面，个人信息处理功能由上层业务系统承担，因此该控制点对本对象不适用。</code></li> </ul> <h3 id="2-个人信息导出与共享控制不适用">2. 个人信息导出与共享控制不适用</h3> <ul> <li>适用场景：对象本身不提供导出、下载、共享、桥接外发相关能力，或虽有技术能力但未启用且不承载个人信息。</li> <li>推荐话术：<code>经现场核查，本测评对象未启用个人信息导出、下载、共享、桥接外发等功能，且不直接承载个人信息，因此该控制点对本对象不适用。</code></li> </ul> <h3 id="3-个人信息处理边界上移">3. 个人信息处理边界上移</h3> <ul> <li>适用场景：中间件仅托管应用，个人信息由业务系统实际处理。</li> <li>推荐话术：<code>经现场确认，本中间件/容器仅作为业务系统运行支撑平台，不直接构成个人信息处理主体，相关个人信息保护控制点转由承载业务应用或数据处理系统进行测评。</code></li> </ul> <h2 id="五按对象推荐引用话术">五、按对象推荐引用话术</h2> <h3 id="1-tomcat">1. Tomcat</h3> <ul> <li>推荐用于“管理会话超时不适用”： <ul> <li><code>Tomcat 默认管理控制台未部署或已关闭，现场不存在独立管理登录会话，因此该控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>Tomcat 仅作为 Java Web 容器，不直接处理个人信息，相关控制点由部署应用测评。</code></li> </ul> </li> </ul> <h3 id="2-nginx">2. Nginx</h3> <ul> <li>推荐用于“登录失败处理不适用”： <ul> <li><code>Nginx 仅作为反向代理/网关使用，不存在独立用户登录过程，因此该控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>Nginx 不直接处理个人信息，仅承担转发功能，因此个人信息保护相关控制点不适用。</code></li> </ul> </li> </ul> <h3 id="3-weblogic--websphere--jboss--apusic">3. WebLogic / WebSphere / JBoss / Apusic</h3> <ul> <li>推荐用于“原生双因素不适用”： <ul> <li><code>该中间件管理入口统一经堡垒机/统一认证平台访问，双因素能力不在本组件内实现，因此本组件不单独适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>该中间件仅作为业务系统运行平台，不直接构成个人信息处理主体，因此相关控制点不适用。</code></li> </ul> </li> </ul> <h3 id="4-docker">4. Docker</h3> <ul> <li>推荐用于“容器内账户控制不适用”： <ul> <li><code>本次测评对象为 Docker 平台层，容器内应用账户控制不属于本对象边界，因此该控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>Docker 平台层不直接处理业务个人信息，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="5-redis">5. Redis</h3> <ul> <li>推荐用于“登录失败锁定不适用”： <ul> <li><code>Redis 无面向人工用户的独立登录界面，因此登录失败锁定类控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>Redis 当前仅用于技术缓存/分布式锁，不直接承载个人信息，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="6-kafka">6. Kafka</h3> <ul> <li>推荐用于“登录失败锁定不适用”： <ul> <li><code>Kafka 仅提供 Broker 连接认证，不存在人工交互式登录界面，因此该控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>Kafka 当前传输内容不涉及个人信息，且平台无个人信息导出共享功能，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="7-emqx">7. EMQX</h3> <ul> <li>推荐用于“人工用户登录控制不适用”： <ul> <li><code>EMQX 主要处理设备接入认证，若未启用独立人工登录管理面，则相关人工登录控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>EMQX 当前承载的设备消息不涉及个人信息，且未启用导出共享能力，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="8-apache-http-server">8. Apache HTTP Server</h3> <ul> <li>推荐用于“登录失败处理不适用”： <ul> <li><code>Apache HTTP Server 当前仅承担静态发布/代理转发功能，不存在独立用户登录过程，因此该控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>Apache HTTP Server 不直接处理个人信息，且未启用 WebDAV、目录共享等能力，因此相关控制点不适用。</code></li> </ul> </li> </ul> <h3 id="9-iis">9. IIS</h3> <ul> <li>推荐用于“登录失败处理不适用”： <ul> <li><code>IIS 当前仅开放匿名访问或承担反向代理功能，不存在 IIS 本体人工登录场景，因此该控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>IIS 本体不直接处理个人信息，且未启用 WebDAV、目录浏览或文件共享能力，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="10-jetty">10. Jetty</h3> <ul> <li>推荐用于“管理会话不适用”： <ul> <li><code>Jetty 当前未启用独立管理登录界面，仅作为应用运行容器，因此相关管理登录控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>Jetty 本体仅提供运行支撑能力，不直接处理个人信息，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="11-tongweb">11. TongWeb</h3> <ul> <li>推荐用于“原生双因素不适用”： <ul> <li><code>TongWeb 管理登录统一由外部认证平台或堡垒机控制，原生双因素不在本组件内实现，因此本组件不单独适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>TongWeb 当前仅作为中间件运行平台，不直接处理个人信息，因此相关控制点不适用。</code></li> </ul> </li> </ul> <h3 id="12-rabbitmq">12. RabbitMQ</h3> <ul> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>RabbitMQ 当前承载的消息不涉及个人信息，且未启用相关导出共享能力，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="13-activemq-artemis">13. ActiveMQ-Artemis</h3> <ul> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>ActiveMQ Artemis 当前承载的消息不涉及个人信息，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="14-rocketmq">14. RocketMQ</h3> <ul> <li>推荐用于“人工登录控制不适用”： <ul> <li><code>RocketMQ 当前仅提供消息组件接入能力，不存在独立人工登录界面，因此相关人工登录控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>RocketMQ 当前承载消息不涉及个人信息，且无面向运维的个人信息导出共享能力，因此该控制点不适用。</code></li> </ul> </li> </ul> <h3 id="15-zookeeper">15. ZooKeeper</h3> <ul> <li>推荐用于“人工登录控制不适用”： <ul> <li><code>ZooKeeper 当前未启用独立人工登录管理界面，主要提供客户端连接和协调服务，因此相关人工登录控制点不适用。</code></li> </ul> </li> <li>推荐用于“个人信息保护不适用”： <ul> <li><code>ZooKeeper 当前仅承载协调元数据和非个人信息配置，不直接处理个人信息，因此该控制点不适用。</code></li> </ul> </li> </ul> <h2 id="六现场使用提醒">六、现场使用提醒</h2> <ul> <li>填写“不适用”前，先确认对象边界、部署位置、上位系统和实际功能，不要因“产品原生不支持”直接判不适用。</li> <li>只要上层业务系统、日志、缓存、消息或规则引擎里已经实际处理个人信息，就不能简单判个人信息保护不适用。</li> <li>只要存在管理控制台、登录页面、本地账号体系，就不能简单判身份鉴别类控制点不适用。</li> <li>最稳妥的写法是：<code>本对象不适用 + 理由 + 上位实现位置 + 补充取证去向</code>。</li> </ul>https://www.clearsec.org/wikis/docs/gradeprotection/%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E7%8E%B0%E5%9C%BA%E4%BD%BF%E7%94%A8%E6%80%BB%E6%8C%87%E5%BC%95%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/Mon, 24 Aug 2026 00:00:00 +0800https://www.clearsec.org/wikis/docs/gradeprotection/%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E7%8E%B0%E5%9C%BA%E4%BD%BF%E7%94%A8%E6%80%BB%E6%8C%87%E5%BC%95%E4%B8%AD%E9%97%B4%E4%BB%B6%E4%B8%8E%E5%AE%B9%E5%99%A8/<h2 id="一先看哪份文档">一、先看哪份文档</h2> <ul> <li>现场核查直接看 <code>01-主脚本</code>：按对象进入对应脚本逐项取证。</li> <li>遇到版本差异先看 <code>02-版本差异说明</code>：先识别版本，再决定使用哪组命令。</li> <li>现场勾选和收证看 <code>03-统一取证模板</code>：统一收集截图、制度、访谈、平台材料。</li> <li>需要判断“不适用”先看 <code>06-不适用控制点审阅结论</code> 和 <code>07-现场判定话术版-不适用控制点</code>。</li> </ul> <h2 id="二现场使用顺序">二、现场使用顺序</h2> <ol> <li>先确认对象边界。 只测中间件本体，还是包含承载应用、前置代理、统一认证、日志平台。</li> <li>先确认版本与部署方式。 是单机、集群、容器化、主备、代理模式，还是嵌入式。</li> <li>先跑基础信息与管理面检查。 先抓版本、端口、路径、账号、日志、配置，再进入控制点。</li> <li>再做不适用判断。 先确认“是否存在该功能/是否由上位平台实现/是否实际处理个人信息”，再决定是否勾不适用。</li> <li>最后统一收证。 将截图、制度、访谈、平台材料归并到统一模板。</li> </ol> <h2 id="三对象选型速查">三、对象选型速查</h2> <ul> <li><code>Tomcat / Jetty / WebLogic / WebSphere / JBoss / TongWeb / Apusic-金蝶</code> 适合作为“应用服务器/中间件运行容器”对象使用。</li> <li><code>Nginx / Apache HTTP Server / IIS</code> 适合作为“Web 服务/反向代理/静态站点/HTTPS 网关”对象使用。</li> <li><code>Redis</code> 适合作为“缓存/会话/键值存储”对象使用。</li> <li><code>Kafka / RabbitMQ / ActiveMQ-Artemis / RocketMQ / EMQX</code> 适合作为“消息中间件/消息代理/协议接入层”对象使用。</li> <li><code>Docker</code> 适合作为“容器运行平台”对象使用。</li> <li><code>ZooKeeper</code> 适合作为“协调服务/注册中心/配置协同组件”对象使用。</li> </ul> <h2 id="四最容易误判的地方">四、最容易误判的地方</h2> <ul> <li>把“产品原生不支持”直接写成“不适用”。 正确做法：先确认是否由上位平台等效实现。</li> <li>把“中间件不直接处理个人信息”与“整套系统不处理个人信息”混为一谈。 正确做法：只对当前测评对象判定，不外推整个系统。</li> <li>把“没有独立管理登录界面”的组件，硬套人工登录失败锁定要求。 正确做法：按对象边界判定为不适用或转由上位平台补证。</li> <li>只给截图，不说明判断口径。 正确做法：每个例外项都写清“理由 + 依据 + 上位实现位置”。</li> </ul> <h2 id="五建议统一命名">五、建议统一命名</h2> <ul> <li>截图命名建议：<code>对象-章节-控制点-序号</code> 例如：<code>Tomcat-身份鉴别-B-01.png</code></li> <li>访谈记录命名建议：<code>对象-访谈-主题-日期</code> 例如：<code>RabbitMQ-访谈-账号管理-20260327.docx</code></li> <li>平台材料命名建议：<code>对象-平台-类型-序号</code> 例如：<code>Nginx-WAF-告警-01.png</code></li> </ul> <h2 id="六建议统一备注句式">六、建议统一备注句式</h2> <ul> <li>符合项： <code>经现场核查，已配置/已启用/已限制，满足该控制点要求。</code></li> <li>不适用项： <code>经现场核查，本测评对象不具备该功能或该控制由上位平台实现，因此该控制点对本对象不适用。</code></li> <li>部分依赖上位平台项： <code>本对象原生能力有限，相关控制由统一认证/堡垒机/WAF/日志平台实现，已补充上位平台证据。</code></li> <li>需后补项： <code>现场已核查配置现状，制度/平台/访谈材料由责任人后补。</code></li> </ul> <h2 id="七建议补证优先级">七、建议补证优先级</h2> <ul> <li>第一优先级：版本、端口、配置路径、管理入口、日志路径、账号权限。</li> <li>第二优先级：HTTPS/TLS、认证方式、ACL、默认账号、默认组件、日志留存。</li> <li>第三优先级：备份恢复、个人信息保护、剩余信息保护、入侵防范联动材料。</li> </ul> <h2 id="八建议后续扩展">八、建议后续扩展</h2> <ul> <li>继续补充国产中间件系列，如 <code>BES</code>、<code>WebtoB</code>。</li> <li>继续补充注册中心/配置中心系列，如 <code>Nacos</code>、<code>Consul</code>。</li> <li>继续补充高频代理与高可用组件，如 <code>HAProxy</code>、<code>Keepalived</code>、<code>OpenResty</code>。</li> </ul>