可信验证不符合项是什么
等保 2.0 在通信网络、区域边界与计算环境引入了可信验证要求，很多项目在做差距分析时整条漏掉，或者只写了「具备可信能力」但没有任何校验记录。整改的可行路径分两类：设备支持可信启动的启用硬件机制，不支持的用文件完整性校验作补偿措施。
基本信息
| 问题表现 | 未做任何可信验证或完整性校验，条款整条缺失 |
|---|---|
| 核查内容 | 验证机制是否部署、验证对象是否覆盖、异常是否告警与记录 |
| 硬件路径 | 可信启动（TPM/TCM 等）+ 度量校验 |
| 软件路径 | 关键文件完整性校验（如 AIDE 等）并周期性执行 |
| 证据要求 | 配置说明、基线、周期校验记录与告警处置记录 |
| 制度配套 | 校验周期、责任人、异常处置流程写入制度 |
典型使用场景
- 三级系统整改中补齐可信验证条款并写清实现方式
- 对关键服务器建立完整性基线并配置每周校验任务
- 安全事件后校验系统文件是否被植入后门或篡改
- 现场测评时展示校验报告与告警处置记录
- 存量设备不支持可信启动时，用完整性校验替代并在材料中说明
整改路径
整改路径
评估：设备是否支持可信启动（TPM/TCM）
启用：可信启动 + 引导与程序完整性校验
替代：不支持硬件的用文件完整性校验（如 AIDE）
上报：校验异常告警并形成审计记录文件完整性校验（AIDE 示例）
文件完整性校验（AIDE 示例）
# 初始化基线（初次）
aide --init
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
# 定期校验并输出差异报告
aide --check > /var/log/aide-check.log
# 校验失败须触发告警并记录实现路径对照
| 条件 | 实现方式 | 需要留存的证据 |
|---|---|---|
| 服务器支持可信根 | 启用可信启动与度量校验 | 固件配置、启动日志、设备说明 |
| 不支持可信根 | 文件完整性校验与差异告警 | 基线文件、校验计划与报告 |
| 关键应用包 | 发布包签名校验 | 签名与校验记录 |
| 配置参数 | 关键配置纳入校验范围 | 变更审批与差异处置记录 |
不支持可信启动的存量设备，可用文件完整性校验作补偿措施，并把校验周期与告警路径写入制度，比空着条款更容易通过。
运维细节：升级前暂停校验任务或同步更新基线，否则每次合法变更都会产生大量告警，久而久之就没人看了。