信创可观测平台的国密适配与等保合规：从密码算法到审计留痕

信创落地走到一定阶段，大家关心的不再只是"能不能跑起来"，而是"跑起来之后合规吗"。可观测平台要处理日志、指标、链路这些敏感数据——里面往往混着账号、卡号、交易流水——国密改造和等保测评是绕不过去的两关。这篇讲炬鲸 OBSERVE 在国密算法、等保合规、审计留痕三方面的适配，以及上线前要过的验收点。

国密算法：SM2/SM3/SM4 替换到位

国密改造的核心是把国际算法换成国产算法。三个典型场景：

• 传输加密：HTTPS 证书换成 SM2 国密证书，TLS 握手走国密套件（GMTLS）；
• 存储加密：敏感配置、密钥用 SM4 加密落盘，密钥本身托管在密码机或 KMS；
• 完整性校验：日志摘要、接口签名用 SM3 替代 MD5/SHA。

改造时有两个坑：一是第三方 SDK 默认不支持国密，要换成支持国密的密码库；二是证书链要完整，客户端要能正确校验证书。建议在接入网关层面统一做国密终结，业务服务保持无感知。密钥要定期轮换，轮换过程不能影响已落盘日志的解密，这一点要在改造方案里提前设计。

国密落地的两个具体场景

以网关为例，启用 GMTLS 需要国密证书和对应的 openssl 国密补丁，配置里指定国密套件；客户端要么换支持国密的浏览器（国产浏览器或国密插件），要么在 SDK 层做双向适配。另一个场景是日志落盘加密：采集端到存储端用 SM4 做字段级加密，只对敏感字段（卡号、手机号）加密而不是整条日志，查询性能和合规都能兼顾。

等保 2.0：可观测平台要过的测评项

可观测平台在等保测评里通常作为"安全管理中心"和"集中监控"的载体，重点测评项包括：

• 身份鉴别：登录强制双因子，口令复杂度与定期更换；
• 访问控制：按租户、按角色的细粒度权限，敏感日志分级可见；
• 安全审计：所有操作留痕，审计日志不能被普通管理员删除；
• 数据完整性：日志不可篡改，支持校验和或签名验证。

其中"审计日志不可删除"是最容易失分的一项，平台要把审计日志和业务日志分仓存储、独立权限。等保测评一般分定级、备案、建设整改、测评、监督五个阶段，可观测平台主要在"建设整改"和"测评"阶段介入。建议在方案设计阶段就拉上测评机构确认测评项，把"审计日志不可删除""双因子登录"这类硬性要求写进需求，而不是等测评时再返工。

审计留痕：把"谁在什么时候做了什么"记全

可观测平台本身的运维操作也要留痕：谁改了告警规则、谁导出了日志、谁删了数据源。审计记录至少要包含操作者、时间、对象、操作前后值、来源 IP。炬鲸的做法是把审计事件写入独立的只追加存储，普通账号连删除入口都看不到。只追加存储配合 SM3 时间戳签名，任何一条审计记录被改动都能校验出来，满足不可篡改的要求。

上线前的验收清单

信创环境上线前建议按这张清单过一遍：

1. 密码套件已切国密，证书链完整可验；
2. 日志和配置存储加密，密钥托管在密码机或 KMS；
3. 权限按最小化原则分配，敏感字段已脱敏；
4. 审计日志独立存储、不可删除，操作全程留痕；
5. 等保测评项逐条自测，整改项闭环。

国密和等保不是上线前的突击，而是贯穿平台选型和部署的一条线。选平台时先把这三件事问清楚，后面能省下大量返工。