文章总结： 本文解析《网络安全法》第二十三条第（二）项，强调合规核心在于构建防范病毒、网络攻击及侵入的‘预防-检测-阻断-处置’能力，而非单纯堆砌产品。文章详细拆解了三类威胁对应的防护措施及技术产品，指出合规需确保产品实现实际防御功能，并结合等级测评进行针对性整改。结论是合规以能力为准，需通过有效运营达成法律要求。 综合评分： 80 文章分类： 政策法规,安全建设,解决方案,网络安全

《网络安全法》第二十三条第（二）项合规分解

原创

何威风 何威风

河南等级保护测评

2026年2月2日 11:34 河南

| | | — | | 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施 |

《网络安全法》第二十三条第（二）项，要求采取“技术措施”来实现“防范”常见的“三类威胁（病毒/攻击/侵入）”的能力，因为法律不会直接定义产品这么细节的内容，但是从防范威胁类型出发，具体产品叫什么名字，并不重要。所以，这条在技术层面，要求实际操作中，责任单位应能够做到从预防到检测再到阻断以及处置的能力。

以下，我们将这句话做一个分解，监管部门以及责任单位，可以跳开具体国家标准，也能理解为何标准对这些内容有细节的要求。

1️、防范计算机病毒（恶意代码）

从防病毒的核心能力目标来看，我们不难理解需要针对病毒进行防范，要求实现：

·服务器、终端不被随意植入恶意程序

·发现、隔离、清除已感染设备

在实践中，对应产品/服务

·防病毒/终端防护软件

o传统杀毒软件（病毒库+特征）

o下一代防病毒（NGAV）

·EDR/XDR（终端检测与响应）

o行为检测

o内存型、无文件攻击检测

·服务器防护软件

oLinux/WindowsServer防恶意代码

·邮件安全网关

o防病毒附件扫描

o宏、脚本检测

·文件检测与沙箱

o可疑文件动态分析

·终端安全运维服务

o病毒爆发应急处置

o终端加固服务

其实，这里我们只从功能视角去选择产品，就因为产品可能随着技术发展，以及不同厂家给出不同的命名，所以从法律视角不关心你杀毒软件，还是交EDR，功能只关心：病毒进不进得来、进来了能不能被发现、发现能不能被清除，清除后感染的文件能不能修复等。同时，要在选型中确保产品宣传与实际功能的一致性，以确保真实合规能力。

2️、防范网络攻击（Attack）

在实际工作中，“网络攻击”通常指：扫描、漏洞利用、DDoS、横向移动、Web攻击等。

同样，这里的合规一样对应的是能力，虽然有产品来实现，但是产品不能等同于能力，常规的防范网络攻击需要考虑边界防护、应用防护、攻击检测等。

在实践中，对应产品/服务

·防火墙（FW/NGFW）

o访问控制

o应用识别

·入侵检测/入侵防御系统（IDS/IPS）

o攻击特征检测

·Web应用防火墙（WAF）

oSQL注入

oXSS

o文件上传攻击

·抗DDoS服务/设备

o云清洗

o本地防护

·漏洞扫描系统

o定期发现漏洞及攻击面

·安全加固服务

o系统、网络、应用基线加固

·攻击面管理（ASM）

o暴露资产识别

·安全运营服务（SOC）

o攻击告警分析

o联动处置

3️、防范网络侵入（Intrusion）

“侵入”在实际工作，一般包括但不限于非法访问、越权访问、长期潜伏等安全问题。

在实践中，对应产品/服务

·堡垒机/运维审计系统

o防止非法运维登录

·身份认证与访问控制系统

oMFA（多因素认证）

o统一身份管理（IAM）

·数据库审计系统

o防止内部或外部非法访问数据

·横向移动检测（EDR/NDR）

·网络流量分析（NTA/NDR）

o异常通信识别

《网络安全法》对于合规，是以能力为准，并不是以产品为准，所以堆砌产品能否解决合规问题，需要产品实现对应能力。所以，不能认为具备一堆产品就是合规，同样也不是做了等级测评就是合规，而是产品起到应有作用，承载法律要求的能力，而测评又对这些内容客观呈现出来，为分析网络安全风险隐患以及整改加固提供参考，根据一个有质量的等级测评报告中发现的风险隐患，对系统进行有针对性的整改加固，最终回归法定要求能力。这才是等级保护合规。

合规，是能力不是产品的堆砌，堆砌需要能够堆砌出能力！

注：以上功能对应产品功能枚举存在枚举不全问题，采用过程中可进一步查证相关对应产品详细功能参数。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：河南等级保护测评 何威风 何威风《《网络安全法》第二十三条第（二）项合规分解》