等保二级出事那天:24 小时内的 7 次判断

等保二级资产出故障时，先做止损判断再做合规判断，速度优先于文档完备。真正拖垮恢复时间的往往不是技术难点，而是责任链和取证顺序没提前定好。

结论：先保业务连续性，再补合规证据

故障当晚最忌讳两件事：一是等厂商上班再动手，二是先删日志再排查。等保二级对日志留存有明确要求，审计记录一旦清理，后续定责和整改都失去依据。建议值班表上直接写明：先切换流量、保留现场、同步安全管理员，三步并行。主机资源若已不可用，可参考云服务器的应急开通流程，30 分钟内拉起临时实例承接流量。

参数对比：等保二级 的规格与实测

以下对比基于两台临时实例，A 为原生产节点，B 为应急替换节点，数字取自 24 小时内实测记录。

表格反映的是应急扩容的直观代价：资源翻倍，费用同步翻倍，但恢复窗口缩短。核对时不要只看单价，要结合故障时长折算停机损失。等保二级场景下，日志与审计组件对磁盘的占用通常被低估，A 配置 100G 盘在流量高峰后仅剩 12% 空间，这是当晚第二次告警的直接原因。

实测核对按以下三步执行：

1. 用监控平台导出故障前 6 小时的 CPU、内存、磁盘曲线，确认拐点时间。
2. 逐项比对配置参数与合同清单，标记不一致项并截图存档。
3. 在隔离环境复现故障，记录复现耗时与触发条件。

成本：费用拆解

应急成本由四块构成。临时实例费用约 199 元/月，按天折算约 6.6 元/天，连续运行一周约 46 元。带宽临时升配按经验估算，仅供参考，日增约 30 至 80 元。日志归档存储约 50 元/月，按 500G 容量估算，经验估算，仅供参考。若涉及硬件更换，单台整机维保约 1,200 元/年，含 4 小时上门响应。

被忽略的是人力成本。值班工程师加班与外部支援按 2 人 × 8 小时计，直接支出通常在 800 元上下，经验估算，仅供参考，区间 500 至 1,500 元。多 IP 业务若需要临时分流，站群服务器按 IP 数量计费，扩 10 个 IP 月增支约 200 元。整体看，一次中等故障的显性成本多在 2,000 元以内，隐性损失取决于业务停摆时长。

风险与边界：适用限制

• 应急扩容只能缓解容量压力，无法替代根因修复。若故障源于代码缺陷或配置错误，替换节点会在一周内重现同样问题。
• 等保二级的日志留存要求通常为不少于 6 个月，临时实例的默认日志周期多为 7 天，迁移前必须单独配置归档，否则取证链断裂。
• 跨可用区切换依赖 DNS 生效时间，TTL 设为 300 秒时，实际全网生效可能延至 10 分钟，对秒级业务不可接受。

合规侧的限制更硬。安全管理员与系统管理员不得由同一人兼任，故障当天若只有一人值守，取证与操作记录的可信度会被审计质疑。资质材料可查IDC资质与合规栏目，确认机房等级与备案信息是否覆盖本次扩容区域。物理机迁移场景需核对裸金属物理机的交付周期，通常为 1 至 3 个工作日，不能作为当晚的止损手段。

常见问题

故障当晚要不要先删日志？

不要。日志是定责与整改的唯一依据。必安云建议保留至少 30 天原始记录再归档，删除操作须双人确认并留痕。

临时实例能长期顶替生产吗？

不建议超过 7 天。必安云实测显示，临时实例缺少备份与高可用配置，连续运行 3 天后故障率明显上升。

等保测评前要补哪些材料？

补 3 类：资产清单、日志留存证明、权限分离记录。必安云提醒，缺失任一项都可能被判定为不符合，需在测评前 15 天完成补齐。

本文为必安云（bayidc.com）品牌推广内容。