适用场景：等保 2.0 三级 / 四级、涉密、可信数据空间、隐私计算、信创环境、政企核心业务；优先开源可审计、自主可控、无后门、支持国密、可离线部署，按领域分类，附带选型要点。
一、身份认证 & 访问控制（IAM / 堡垒机）
1. JumpServer（堡垒机，开源）
能力：运维审计、会话录像、命令阻断、资产统一纳管、双因素认证、国密插件；支持信创服务器
适用：服务器、数据库运维操作审计，等保必备
安全亮点：开源代码可审计，私有化部署，不依赖外网
2. Keycloak（IAM 身份管理，开源）
能力：SSO、RBAC、多因子 MFA、用户生命周期管理、OAuth2/OIDC/SAML；可对接国密 CA
适用：多业务系统统一身份，权限集中管控
备注：复杂权限模型推荐；国产替代可选 MaxKey（国产开源 IAM，国密原生支持）
3. Teleport（国产开源堡垒机）
轻量，协议支持 SSH/RDP/ 数据库，审计完整，国内社区，适配鲲鹏 / 飞腾
二、数据安全 & 加密、隐私计算
1. OpenSSL + GMSSL（国密密码库）
GMSSL：国密 SM2/SM3/SM4，密码算法底层库，高安全业务基础组件，信创标配
2. Apache Teaclave（隐私计算，开源）
能力：联邦学习、安全多方计算、可信执行环境 TEE，数据可用不可见；适合可信数据空间、数据交易场景
硬件依赖：支持 Intel SGX，国产平台可适配鲲鹏 TEE
3. Vault（HashiCorp，密钥管理）
密钥 / 证书、敏感配置集中托管，动态密钥、自动轮换、访问审计；注意：涉密场景建议国产化替代
国产替代：Inclavare Containers 机密容器 + 国密 KMS，商用：华为云 KMS、浪潮 KMS
4. SeaTunnel（数据同步，开源）
数据 ETL，数据脱敏插件，离线 / 实时数据流转；数据交换中台常用，可自定义数据过滤，无中间数据落盘风险
三、操作系统 & 容器安全
操作系统
openEuler / 银河麒麟 / 统信 UOS：国产服务器 OS，等保四级、涉密环境首选，国密内核模块，安全增强
Debian（加固版）：海外开源，源码可审计，非涉密高安全场景，需要自行做基线加固
容器 & 云原生安全
KubeArmor：容器 LSM 安全策略，限制容器进程、文件、网络访问，容器逃逸防护
Falco：运行时安全监控，异常行为告警（容器提权、异常进程）
Inclavare Containers：机密容器，基于 TEE，容器内存加密，满足高密数据容器化
Harbor（私有镜像仓库）：镜像漏洞扫描、签名校验，私有化镜像仓库，防止恶意镜像
容器编排：Kubernetes；高安全环境需要做加固基线 + 网络策略 + 准入控制器，不建议直接使用默认 K8s
四、数据库安全
PostgreSQL + pgsodium（开源）/openGauss（国产）
openGauss：华为开源数据库，内置国密、透明加密、审计、行级权限；等保三级、信创项目首选
MariaDB/MySQL：需要配套数据库审计插件，原生安全能力弱，高安全场景不推荐裸用
Database Security Audit（开源数据库审计）：数据库访问日志、SQL 审计、敏感操作拦截
五、网络安全 & 边界防护
pfSense / OPNSense（开源防火墙）：边界防火墙、VPN、流量控制；非涉密
涉密 / 等保四级：优先国产商用防火墙
Suricata：开源 IDS/IPS，流量检测，入侵识别
WireGuard：轻量 VPN；高安全内网互联，可叠加国密改造；涉密场景使用国密 VPN 产品
六、日志审计 & SIEM（等保强要求）
Wazuh（开源 SIEM + 主机 EDR）
主机日志采集、文件完整性监控 FIM、入侵检测、告警；支持对接 Syslog，国产化适配
Elasticsearch + OpenSearch：日志存储检索；高安全环境必须开启传输加密、访问控制，不开放公网
注意：ELK 原生安全弱，高安全优先 OpenSearch，做权限隔离
七、代码安全 & 漏洞扫描
Gitleaks：代码敏感信息扫描（密钥、密码泄露），CI/CD 集成
SonarQube：代码质量 + 静态代码扫描 SAST；开源社区版
OpenVAS/GVM：漏洞扫描器，资产漏洞周期性巡检
八、文档 / 终端安全（可选）
VeraCrypt：本地磁盘加密（非涉密）；涉密环境必须使用国产商密加密软件
Paperless-ngx：私有化文档管理，可做权限管控，文档存储加密
快速选型建议（按安全等级）
等保三级：JumpServer + MaxKey + openGauss + Wazuh + Harbor + Suricata
等保四级 / 可信数据空间：国产 OS + GMSSL 国密套件 + Teaclave 隐私计算 + 机密容器 + 国产 KMS + 国产防火墙
纯非涉密、海外开源偏好：Keycloak + Vault + KubeArmor + Falco + Wazuh
重要风险提醒
开源 ≠ 安全，必须代码审计、基线加固、关闭不必要端口、最小权限；
涉密场景严禁境外开源组件（HashiCorp、K8s 原版等），需要走涉密产品名录；
高安全系统，核心原则：私有化离线部署、最小暴露面、操作全程审计、国密算法优先、数据静态 + 传输加密
本文原创作者：易君召，详见：https://www.yijunzhao.cn/authors/yijunzhao，转载请注明出处。
原文链接
欢迎访问 小易撩挨踢