一、项目背景
包头青山区某物流公司（员工80人，分支机构5个），2025年8月发现公司网络异常：
- 办公网络出口带宽被占满（申请的中国电信200M专线，使用率长期100%，但实际业务仅需50M）
- 员工访问百度等正常网站时，浏览器提示"您的连接不是私密连接"（证书被劫持）
- 夜间（凌晨2:00-5:00）网络流量异常（出网流量达到150M，但公司无夜间业务）
IT部门排查后发现：公司边界防火墙为TP-LINK TL-R473G（家用级，无入侵防御功能），内部网络无隔离（所有设备在同一网段），员工电脑普遍未打补丁（Windows 7占比30%）。
反直觉洞察：很多企业认为"装了杀毒软件就安全了"，但实际边界防护比终端防护更重要。该案例中，攻击者通过边界防火墙的弱密码（admin/admin）登录，修改DNS设置为恶意DNS（8.8.8.8被替换为恶意DNS 185.117.80.146），导致员工访问网站时被劫持到钓鱼网站。另外，边界防火墙无IPS（入侵防御系统）功能,无法检测SQL注入、XSS等攻击。应部署下一代防火墙（NGFW），集成IPS、AV、URL过滤等功能。
二、咨询设计
安全防护方案：
- 边界防护：部署深信服AF-1000-FH（下一代防火墙，吞吐量1Gbps，并发连接数100万），启用功能：
- IPS（入侵防御）：内置CVE漏洞特征库（每月更新），检测SQL注入、XSS、命令注入等攻击
- AV（防病毒）：文件过滤（拦截EXE、PDF等文件中的恶意代码），使用AI引擎（机器学习检测未知威胁）
- URL过滤：分类过滤（拦截赌博、色情、钓鱼网站），黑名单（自定义恶意域名）
- 应用识别：识别6000+应用（如微信、钉钉、迅雷），策略控制（禁止P2P下载、限制视频流量）
- 内网隔离：划分VLAN（财务VLAN 10、办公VLAN 20、访客VLAN 99、服务器VLAN 5），VLAN间ACL（禁止访客访问内网，禁止办公网直接访问服务器，仅开放必要端口如80、443）
- 终端安全：部署深信服EDR（终端检测与响应），功能：漏洞修复、病毒查杀、合规检查（如：未打补丁禁止入网）
- 威胁情报：对接微步在线威胁情报平台（API方式），实时查询IP/域名的恶意评分（评分>80则自动拦截）
三、施工规划
实施周期：7天。
Day 1-2：边界防火墙部署。
Step 1：网络拓扑调整。原有网络：光猫→TL-R473G→交换机→终端。新网络：光猫→深信服AF-1000-FH（部署为透明模式，无需修改终端IP）→交换机→终端。透明模式优点：不改变原有网络结构，终端无感知。
Step 2：配置安全策略。上线前策略（仅监控，不拦截）：运行24小时，观察日志（有无攻击告警）。确认无误后切换为拦截模式。
Step 3：启用IPS。选择"平衡"策略（拦截高危攻击，对误报率高的策略仅监控）。定期更新特征库（自动更新，每天凌晨2:00）。
Day 3-4：内网隔离。
Step 4：重新规划IP地址。原有网络：192.168.1.0/24（所有设备）。新规划：服务器网段 10.1.5.0/24，财务网段 10.1.10.0/24，办公网段 10.1.20.0/24，访客网段 10.1.99.0/24。使用DHCP分配IP（不同VLAN分配不同网段）。
Step 5：配置ACL。规则示例：禁止访客网段（10.1.99.0/24）访问内网任何IP（仅允许访问互联网），禁止办公网段访问服务器网段的数据库端口（3306、1433），仅允许应用服务器（10.1.5.10）访问数据库。
Day 5-6：终端安全部署。
Step 6：部署EDR控制台（安装在服务器10.1.5.20），推送EDR客户端至所有终端（通过域组策略推送，用户无感知）。
Step 7：配置合规策略。策略：Windows 7终端禁止入网（漏洞无法修复），未安装EDR的终端禁止访问互联网（仅允许访问内网更新服务器）。
Day 7：威胁情报对接+应急演练。
Step 8：对接微步在线API（申请API Key，配置在防火墙上），测试：访问恶意域名（如：malware-site.com），防火墙自动拦截（返回-block页面）。
Step 9：应急演练。模拟钓鱼邮件攻击（发送测试邮件，包含恶意链接），验证EDR是否拦截（终端点击链接后，EDR弹窗警告并阻断）。
四、安全补丁
安全防护是一个持续过程：
- 漏洞管理：使用绿盟RSAS漏洞扫描系统（每周扫描一次内网），高危漏洞（CVSS评分>7.0）7天内修复，中危漏洞（CVSS 4.0-7.0）30天内修复
- 安全审计：日志集中分析（使用Splunk），规则：同一IP短时间内触发多次IPS告警→自动封禁IP（封禁时间24小时），员工访问恶意网站→通知IT部门（人工确认是否误报）
- 备份恢复：关键服务器（如：域控制器、数据库）每天备份（Veeam），备份不可变（Immutable），即使攻击者攻陷备份服务器也无法删除备份
- 安全培训：每季度组织一次安全意识培训（钓鱼邮件识别、密码安全、社会工程学防范），培训后模拟钓鱼攻击（统计员工点击率，针对性再培训）
包头气候适配：无直接关联（网络安全设备对气候要求不高），但机房环境需注意：防火墙、EDR控制台服务器等设备需要恒温恒湿环境（温度20℃-25℃，湿度40%-60%）。
五、验收交付
验收测试：
- 边界防护测试：使用Kali Linux发起SQL注入攻击（sqlmap工具），防火墙拦截（日志中有记录），攻击成功率0%
- 内网隔离测试：从办公网段（10.1.20.100）ping服务器网段（10.1.5.10），ping不通（ACL生效），从应用服务器（10.1.5.10）ping数据库（10.1.5.20），可通（仅开放必要端口）
- 终端安全测试：在终端下载EICAR测试病毒文件（无害的测试文件），EDR拦截（弹窗警告），病毒文件被隔离
- 威胁情报测试：访问微步在线标注的恶意IP（如：185.117.80.146），防火墙拦截（返回-block页面）
交付文档：《网络安全拓扑图》《安全策略配置表》《漏洞修复报告》《应急演练记录》。
六、售后承诺
质保：防火墙硬件质保1年，特征库升级1年（IPS、AV、URL库每日更新）。
服务：7×24小时安全监控（SOC团队远程监控告警），每月提供安全报告（攻击统计、漏洞情况、优化建议），应急响应（发生安全事件后，2小时内到场处置）。
合规服务：协助通过等保2.0三级测评（提供测评所需文档、整改建议、测评配合）。
【不舍昼夜技术·包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）