等保2.0测评新增DDoS防护核查项，要求提供高防防护日志

近期等保2.0现场测评规范更新，新增DDoS防护专项核查项。测评人员在现场检测阶段，不再仅核查是否部署DDoS高防产品，还要求被测单位出示完整高防防护日志，核验边界抗攻击能力是否真实生效，安全审计机制是否落地。不少企业以往只采购高防服务，但未开启日志记录、未长期留存日志，在现场测评环节直接被判定为不符合项，需要二次整改。

按照等保与网络安全法相关规定，网络安全事件日志最低留存周期为6个月。DDoS防护日志属于关键安全审计材料，日志内容需要包含攻击发生时间、攻击源IP、目标IP、攻击类型、流量峰值、清洗动作、黑洞策略、告警记录等信息。当业务遭遇SYN洪水、UDP洪水、CC攻击时，高防平台产生的清洗日志、拦截记录，都需要可查询、可导出、不可随意篡改，供测评专家核验。

一、核查核心逻辑：防护不能“只部署，无审计”

很多企业在等保建设中存在认知误区，认为只要采购高防IP、接入流量清洗，就满足DDoS防护要求。本次新增核查项的核心思路，是验证防护体系**真实可用、事件可追溯**。如果仅有防护产品，没有日志留存，无法证明攻击发生时防护策略正常执行，属于典型的合规短板。

DDoS防护日志具备多重价值：测评核验材料、攻击溯源取证、安全事件复盘。一旦业务遭受大流量攻击，依托完整日志可以快速定位攻击向量，评估攻击规模，形成事件处置报告；后续监管检查、安全事件调查时，防护日志也是重要凭证。对于政企、IDC、游戏、金融等三级等保业务，边界DDoS防护审计已经成为现场测评的必查模块。单纯依靠服务器日志无法替代高防清洗日志，二者审计对象不同，不能混用。

二、落地难点：日志采集不全、存储周期不足

企业在落实该项合规要求时，经常遇到几类问题。

第一，高防服务商默认不开启全量日志，仅保留简短攻击告警，缺少详细流量清洗记录。

第二，日志只短期存储，无法满足180天留存要求。

第三，高防日志、WAF日志、服务器日志分散在不同平台，没有集中审计，测评时汇总困难。

第四，日志权限管控缺失，存在被删除、篡改风险。

安全专家建议，企业在选型DDoS高防时，优先确认产品是否支持完整防护日志输出，支持日志导出、实时推送至日志审计平台。可以将运营商骨干高防、云高防、高防DNS日志统一汇聚，构建集中审计平台。帝恩思高防DNS方案可记录域名层DNS洪水攻击日志，与业务层DDoS清洗日志联动，补齐域名入口的审计短板，实现从域名解析到业务访问的全链路日志留存。

三、等保整改实操方案，做好DDoS防护与审计闭环

针对新增DDoS核查项，企业等保整改可按四步落地。

第一，梳理边界防护资产，确认业务是否接入DDoS高防，开启全量流量清洗日志，核对日志字段完整性。

第二，配置日志存储策略，保障日志留存不少于6个月，开启日志备份与防篡改机制，禁止随意删除审计记录。

第三，建立常态化日志审计机制，定期查看DDoS攻击告警，针对高频攻击源IP做策略优化，形成季度安全审计报告。

第四，完善应急响应预案，结合高防日志开展DDoS攻击演练，攻击事件发生后，依托日志完成事件记录、复盘归档。

同时要区分不同防护层面日志：网络层高防记录L3/L4洪水攻击清洗日志，应用层防护记录CC攻击拦截日志，高防DNS记录DNS查询洪水攻击日志，多维度日志组合，才能够完整证明全链路DDoS防护能力。

四、行业启示，等保合规走向实效核验

本次等保测评新增DDoS核查项，释放明显信号：等级保护测评从“纸面合规”转向实效核验。安全建设不再只看产品采购清单，更加重视防护能力落地、安全日志审计、事件可追溯。

随着网络攻击复杂化，DDoS攻击、漏洞利用、肉鸡集群攻击组合频发，企业要将DDoS防护和日志审计纳入常态化安全运营。提前做好高防日志采集、存储与归档，避免等保现场测评出现整改返工，保障业务顺利通过等保测评，构建满足等保2.0标准的边界防护与审计体系。