https://www.clearsec.org/wikis/docs/gradeprotection/%E5%AE%89%E5%85%A8%E8%AE%BE%E5%A4%87/%E9%98%B2%E7%81%AB%E5%A2%99%E6%A0%B8%E6%9F%A5%E8%84%9A%E6%9C%AC/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/Recent content in 现场指引 on ClearSec WikiHugozh-cnMon, 24 Aug 2026 00:00:00 +0800https://www.clearsec.org/wikis/docs/gradeprotection/%E5%AE%89%E5%85%A8%E8%AE%BE%E5%A4%87/%E9%98%B2%E7%81%AB%E5%A2%99%E6%A0%B8%E6%9F%A5%E8%84%9A%E6%9C%AC/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E7%8E%B0%E5%9C%BA%E6%A0%B8%E6%9F%A5%E9%A1%BA%E5%BA%8F%E4%B8%8E%E8%A1%A5%E5%81%BF%E5%88%A4%E5%AE%9A%E8%AF%B4%E6%98%8E/Mon, 24 Aug 2026 00:00:00 +0800https://www.clearsec.org/wikis/docs/gradeprotection/%E5%AE%89%E5%85%A8%E8%AE%BE%E5%A4%87/%E9%98%B2%E7%81%AB%E5%A2%99%E6%A0%B8%E6%9F%A5%E8%84%9A%E6%9C%AC/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E7%8E%B0%E5%9C%BA%E6%A0%B8%E6%9F%A5%E9%A1%BA%E5%BA%8F%E4%B8%8E%E8%A1%A5%E5%81%BF%E5%88%A4%E5%AE%9A%E8%AF%B4%E6%98%8E/<p>防火墙与安全设备-现场核查使用顺序与补偿判定说明</p> <h2 id="建议使用顺序">建议使用顺序</h2> <ol> <li> <p>先识别设备厂商、型号、版本、是否集中纳管、是否双机/集群。</p> </li> <li> <p>再打开对应厂商“三级现场核查主脚本”。</p> </li> <li> <p>如命令不存在或显示差异较大，立即切换查看对应“主流版本核查差异说明”。</p> </li> <li> <p>取证时优先保留以下高优先级证据：</p> </li> </ol> <ul> <li> <p>版本与型号</p> </li> <li> <p>管理员与角色</p> </li> <li> <p>管理服务控制</p> </li> <li> <p>日志与审计</p> </li> <li> <p>入侵防范策略与告警</p> </li> <li> <p>备份与高可用</p> </li> </ul> <ol start="5"> <li>最后按“统一取证模板”完成勾选，标记缺失项和补证项。</li> </ol> <h2 id="补偿判定的常见口径">补偿判定的常见口径</h2> <ol> <li> <p>设备本体不支持复杂口令、双因素、审计独立等能力时，不应直接判定“满足”，应查看堡垒机、统一认证平台、日志平台、SOC 等补偿控制。</p> </li> <li> <p>设备本体只保存局部日志时，不应直接判定“日志不足”，应查看是否已稳定外发到日志平台并具备留存、检索、权限控制能力。</p> </li> <li> <p>双机热备不等同于异地备份，也不等同于恢复演练；三者应分别取证、分别判断。</p> </li> <li> <p>静态安全策略不等同于有效入侵防范；现场应补取 IPS/威胁防护启用状态、特征库版本、攻击告警或策略命中记录。</p> </li> <li> <p>临时授权、厂商远程支持、外包运维等场景，不应仅看是否能登录，还应查看审批、会话审计、到期回收和保密约束。</p> </li> </ol> <h2 id="入侵防范专项提示">入侵防范专项提示</h2> <ol> <li>对“入侵防范”控制点，建议至少同时保留四类证据：</li> </ol> <ul> <li> <p>边界或区域安全策略</p> </li> <li> <p>IPS/攻击防护启用状态</p> </li> <li> <p>特征库/威胁库版本</p> </li> <li> <p>攻击告警、阻断或命中记录</p> </li> </ul> <ol start="2"> <li>若防火墙本体不具备完整 IPS/威胁防护能力，应明确是由哪类设备补偿：</li> </ol> <ul> <li> <p>上级边界防火墙</p> </li> <li> <p>专用 IPS/IDS</p> </li> <li> <p>WAF/抗 DDoS/EDR/NDR</p> </li> <li> <p>SOC/态势感知平台</p> </li> </ul> <ol start="3"> <li>对高危服务暴露，应同时回答四个问题：</li> </ol> <ul> <li> <p>开了什么服务</p> </li> <li> <p>开给谁</p> </li> <li> <p>为什么必须开</p> </li> <li> <p>开了以后用了什么防护措施</p> </li> </ul> <h2 id="常见易漏项">常见易漏项</h2> <ol> <li> <p>管理员共享账号和默认账号未单独说明。</p> </li> <li> <p>管理来源地址未截图，只保留了服务开启状态。</p> </li> <li> <p>日志留存只截本机容量，没有补平台留存证据。</p> </li> <li> <p>入侵防范只截静态规则，没有截告警、命中或阻断。</p> </li> <li> <p>备份只说明“有双机”，没有证明配置可恢复。</p> </li> <li> <p>涉及个人信息的报表、日志、管理员界面未脱敏。</p> </li> </ol> <h2 id="建议补证材料清单">建议补证材料清单</h2> <ol> <li> <p>设备或平台截图</p> </li> <li> <p>账号授权审批记录</p> </li> <li> <p>变更审批记录</p> </li> <li> <p>备份与恢复演练记录</p> </li> <li> <p>安全管理制度</p> </li> <li> <p>运维访谈记录</p> </li> <li> <p>厂商或维护服务记录</p> </li> </ol>https://www.clearsec.org/wikis/docs/gradeprotection/%E5%AE%89%E5%85%A8%E8%AE%BE%E5%A4%87/%E9%98%B2%E7%81%AB%E5%A2%99%E6%A0%B8%E6%9F%A5%E8%84%9A%E6%9C%AC/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E4%B8%BB%E6%B5%81%E7%89%88%E6%9C%AC%E5%B7%AE%E5%BC%82%E6%96%87%E6%A1%A3%E7%B4%A2%E5%BC%95/Mon, 24 Aug 2026 00:00:00 +0800https://www.clearsec.org/wikis/docs/gradeprotection/%E5%AE%89%E5%85%A8%E8%AE%BE%E5%A4%87/%E9%98%B2%E7%81%AB%E5%A2%99%E6%A0%B8%E6%9F%A5%E8%84%9A%E6%9C%AC/%E7%8E%B0%E5%9C%BA%E6%8C%87%E5%BC%95/%E4%B8%BB%E6%B5%81%E7%89%88%E6%9C%AC%E5%B7%AE%E5%BC%82%E6%96%87%E6%A1%A3%E7%B4%A2%E5%BC%95/<p>防火墙与安全设备主流版本差异文档索引</p> <ol> <li>启明星辰防火墙</li> </ol> <ul> <li> <p>文件：02-版本差异说明\01-启明星辰防火墙主流版本核查差异说明.txt</p> </li> <li> <p>内容：版本识别方式、主流版本分档、命令差异、兼容替代命令、现场注意事项</p> </li> </ul> <ol start="2"> <li>天融信防火墙</li> </ol> <ul> <li> <p>文件：02-版本差异说明\02-天融信防火墙主流版本核查差异说明.txt</p> </li> <li> <p>内容：版本识别方式、主流版本分档、命令差异、兼容替代命令、现场注意事项</p> </li> </ul> <ol start="3"> <li>华为防火墙</li> </ol> <ul> <li> <p>文件：02-版本差异说明\03-华为防火墙主流版本核查差异说明.txt</p> </li> <li> <p>内容：USG/NGFW 常见版本差异、HRP/内容库核查差异、平台联动注意事项</p> </li> </ul> <ol start="4"> <li>H3C防火墙</li> </ol> <ul> <li> <p>文件：02-版本差异说明\04-H3C防火墙主流版本核查差异说明.txt</p> </li> <li> <p>内容：SecPath 常见版本差异、管理服务和日志配置替代取证方式</p> </li> </ul> <ol start="5"> <li>深信服防火墙与安全设备</li> </ol> <ul> <li> <p>文件：02-版本差异说明\05-深信服防火墙与安全设备主流版本核查差异说明.txt</p> </li> <li> <p>内容：CLI 与 Web 界面取证边界、规则库和平台化场景差异</p> </li> </ul> <ol start="6"> <li>山石网科防火墙</li> </ol> <ul> <li> <p>文件：02-版本差异说明\06-山石网科防火墙主流版本核查差异说明.txt</p> </li> <li> <p>内容：常见 CLI 差异、日志备份和平台联动取证建议</p> </li> </ul> <ol start="7"> <li>绿盟防火墙与安全设备</li> </ol> <ul> <li> <p>文件：02-版本差异说明\07-绿盟防火墙与安全设备主流版本核查差异说明.txt</p> </li> <li> <p>内容：产品线差异、平台联动、日志与备份取证建议</p> </li> </ul> <ol start="8"> <li>Cisco防火墙</li> </ol> <ul> <li> <p>文件：02-版本差异说明\08-Cisco防火墙主流版本核查差异说明.txt</p> </li> <li> <p>内容：ASA/FTD/FMC 场景差异、内容库和管理平台取证要点</p> </li> </ul> <ol start="9"> <li>Palo Alto防火墙</li> </ol> <ul> <li> <p>文件：02-版本差异说明\09-Palo Alto防火墙主流版本核查差异说明.txt</p> </li> <li> <p>内容：PAN-OS 单机、HA、Panorama 纳管场景下的核查差异</p> </li> </ul>