新业务上线前，安全防护需求的核心答案只有一句：先摸清业务资产和暴露面，再对照合规底线，然后按风险优先级补齐安全测试和防护措施，最后形成可执行的检查清单。
很多团队在业务上线前几天才临时找安全同事“帮忙看看”，结果要么漏掉关键风险，要么被等保测评卡住上线时间，问题出在需求没一次性问清楚，本文按实战顺序，把防护需求拆成四个模块,每一步都有可对照的操作方法。
新业务上线前安全评估怎么做：先盘清资产和暴露面
安全需求不是从“买什么设备”开始，而是从“这个业务会碰到什么”开始，上线前第一件事，是把业务涉及的域名、IP、端口、接口、数据存储、第三方调用全部列出来，不列清单,后续所有讨论都是空谈。
用一张表完成资产盘点
建议用表格记录以下字段,逐项填写：
- 业务系统名称和功能描述
- 访问入口：公网域名、IP段、端口（如443、8080）
- 数据流转：采集哪些用户数据、存在哪里（数据库/对象存储/本地）、是否加密
- 依赖关系：调用哪些第三方API或服务（支付、短信、地图等）
- 运维权限：谁有服务器登录权限、是否使用堡垒机
这一步在百度搜索“新业务上线安全评估怎么做”时，最常见的坑就是团队只写了域名和IP，忘了写接口和第三方回调地址，接口未列明，后续渗透测试覆盖面就不全,攻击者可能通过未收录的后端接口绕过WAF。
暴露面分级：判断哪些是高风险点
资产清单出来后,按以下标准给暴露面定级：
- 公网可直接访问的管理后台（如登录页面）高风险,因为暴露在公网且无基本防护。
- 涉及用户手机号、身份证、银行卡的接口高风险,属于敏感数据泄露的高危点。
- 仅有内网访问的运维端口中风险,但需确认安全组是否意外开放。
- 静态页面或纯内容展示低风险,但仍需关注域名被劫持和篡改。
行业共识认为，多数安全事件源于暴露面梳理不完整，尤其是“影子API”和“影子资产”，即开发人员私自部署的测试接口或子域名，建议使用资产测绘工具（如FOFA、Quake）或云平台自带的资产发现功能,对比自己的清单查漏补缺。
业务上线前需要做哪些安全测试：按风险等级排序
资产清单确定后，进入测试环节，测试不是一次性做完所有项目，而是根据合规和业务重要性决定优先级，以下测试项是上线前必须覆盖的,按推荐顺序排列。
第一优先级：漏洞扫描和渗透测试
- 漏洞扫描：使用自动化工具（如Nessus、AWVS，或云平台自带扫描）覆盖所有公网入口，重点检查SQL注入、XSS、文件上传、越权等OWASP Top 10漏洞。
- 渗透测试：如果业务涉及支付、交易或用户量较大，建议请专业团队做一次人工渗透测试。费用通常按系统数量和测试深度计算，市场行情中一次普通Web渗透测试价格从几千到几万不等，价格差异取决于测试范围（单系统还是多系统）、周期（几天到两周）以及是否包含验证报告。
- 配置审查：检查服务器操作系统、数据库、中间件的默认账号、弱口令、开放端口，特别是Redis、MongoDB这类易被入侵的组件。
第二优先级：代码安全审计
如果业务是自研代码，上线前应至少做一次静态代码扫描（如SonarQube、Fortify）,重点审计以下逻辑：
- 登录认证和会话管理是否安全，是否存在弱口令绕过
- 敏感数据（密码、密钥、Token）是否硬编码在代码里
- 文件上传是否有类型校验和大小限制
- SQL查询是否使用预编译语句
业内专家指出，代码审计比渗透测试更能发现深层次逻辑漏洞,因为黑盒测试往往看不到内部流程的缺陷。
第三优先级：业务逻辑测试
这类测试容易忽略，但危害极大，需要模拟真实用户操作,检查是否存在以下问题：
- 验证码是否可绕过，短信炸弹是否可批量触发
- 订单金额可修改、优惠券可重复使用
- 水平越权：用户A能否查看或操作用户B的数据
- 支付回调接口是否校验签名
对于电商、金融类业务，这部分必须单独安排测试时间,不能和漏洞扫描混在一起。
云上业务安全防护方案怎么选：从合规底线到预算权衡
测试完成后，根据发现的问题和业务自身属性确定防护方案，不同云环境（简米云、酷番云、华为云等）或者自建机房，选型逻辑不同，这里讨论最常见的问题：云上业务安全防护方案怎么选，选型不能只看功能列表,要看你的实际需求。
按合规要求筛选必备项
- 等保测评
：如果业务属于政府、金融、教育、医疗等领域，或涉及公民个人信息超过一定规模，需按等级保护标准建设，多数云平台提供等保合规咨询和一站式服务，据行业公开信息，二级等保测评费用通常在数万元区间，三级等保则更高，具体取决于系统数量和测评机构级别,部分云厂商的等保安全产品包可以降低自建合规成本。
- 数据安全法/个人信息保护法要求：需确认是否要做数据脱敏、加密存储、访问日志留存至少六个月,这直接影响数据库选型和日志系统投入。
按业务规模选防护组件
先列出常见防护组件的适用场景,再对照自身业务判断：
- Web应用防火墙（WAF）：公网Web业务必备，可拦截SQL注入、XSS、恶意爬虫，云平台自带WAF按套餐收费,也有按QPS计费的选项。
- 主机安全（HIDS）：每台服务器建议安装，可检测入侵、病毒、异常登录，云主机一般默认附带基础版,增强版需要额外付费。
- DDoS高防：如果业务可能遭遇大流量攻击（游戏、交易所、直播），需要单独购买高防IP，费用较高,按防护带宽收费。
- 堡垒机：运维人员超过三人，或需要满足等保要求时,必须使用堡垒机进行运维审计。
价格和性价比的常见疑问
很多团队问“安全防护包一年多少钱”，答案差别很大,给个参考框架：
- 小型业务（单应用，低并发）：云平台基础安全包（WAF+主机防护+日志）大多数在几千元/年。
- 中型业务（多个系统，有用户数据）：加上渗透测试、堡垒机、备份，大概数万到十几万元/年。
- 大型或强监管业务（含等保、DDoS高防、专业安全托管服务）：几十万甚至上百万元/年都有可能。
行业共识认为，安全预算应占整体IT预算的5%到10%，低于这个比例，大概率防护覆盖不全，但不必一次买齐所有功能，先满足合规项和最大风险点,上线后持续迭代。
上线前安全清单：把需求变成可执行的验收条目
前面所有工作最后要合并成一份检查清单，让开发、运维、安全三方都能签字确认，清单不是越全越好，而是每条都要有明确的验证方法和负责人。
技术验证类条目
- 是否关闭不需要的端口和服务，只保留业务必需端口？验证：使用端口扫描工具检查公网IP。
- 是否删除默认账号和测试账号，修改所有默认密码？验证：检查服务器登录记录和账号列表。
- 是否限制管理后台访问IP，启用多因子认证？验证：尝试从非授权IP登录。
- 是否对文件上传目录设置禁止执行脚本权限？验证：上传测试文件并尝试访问。
管理流程类条目
- 是否建立安全应急联系人,并明确事件上报路径？
- 是否保存至少六个月的访问日志,并做异地备份？
- 是否有回滚方案，如果上线后立刻遭攻击,如何快速下线或接入防护？
这份清单建议在上线前72小时和上线前2小时各检查一次，前一次处理遗留问题,后一次确认无变更引入新风险。
Q&A：业务上线前防护需求常见问题
问：新业务上线前一定要做等保测评吗？
答：不是所有业务都需要，等保测评有法定适用范围，主要针对涉及国家安全、经济命脉、重要公共服务以及个人信息量大且敏感的系统，如果拿不准，可参考公安机关发布的行业定级指南，或者咨询云平台的安全合规顾问，即使不强制测评，按照二级等保的要求自查,也能显著提升安全水位。
问：漏洞扫描和渗透测试可以只做一项吗？
答：可以，但风险不同，漏洞扫描是自动化工具，覆盖面广但误报多，适合快速排查常见问题，渗透测试由人工模拟攻击，能发现逻辑漏洞和深度问题，但费用高、周期长，如果预算有限，优先做漏洞扫描，再针对登录、支付、数据导出等关键功能做定向渗透测试。
问：我用的云平台自带有免费安全告警，还需要买付费防护吗？
答：免费版本通常只提供基础的基础检测和告警，功能上存在明显限制，比如无法自定义规则、不提供防护拦截能力、日志保留时间较短，当业务有用户数据或对外提供交易服务时，基础免费版很难满足防护需求，根据云厂商公开对比信息，免费版主要覆盖“发现问题”，而付费版侧重“自动防护”和“溯源分析”，建议先开启免费版,结合渗透测试结果决定是否升级。
新业务上线前的防护需求，本质上是一次有计划的例行体检，而不是临阵磨枪，把资产、测试、合规、选型四项问清楚，再落到清单上逐项打钩，安全就变成了项目管理的一部分,而不是悬在头上的意外。