① 项目背景
包头某企业，NGFW、WAF、EDR、态势感知买了一大堆，安全预算花了六十多万。结果上个月被入侵，还是客户打电话来问“你们服务器怎么在扫我们”，才知道中招了。我登进态势感知一看，每天3200条告警，红色高危47条，没人看，也看不懂。设备是买了，策略还是出厂默认。
② 咨询设计
先做资产梳理，哪些系统对外、哪些端口必须开、哪些人需要远程，一张表列清楚。然后关掉无效签名：NGFW里默认开了3700多条规则，其中1200多条跟业务无关，全是噪声；WAF的规则集是通用模板，对自家OA的误报率高达38%，运维干脆把WAF设成只记录不阻断。方案是分三步：资产收敛、规则调优、告警分级。高危告警实时推短信，中危每天汇总，低危只入库不打扰。
③ 施工规划
调优不能拍脑袋，先跑两周基线。导出全部告警，按源IP、目的IP、签名分类，找出Top20噪声源。发现其中有台内部扫描器每天触发800条，是运维自己装的漏扫，加白名单；还有一条规则把正常的上传文件判成webshell，直接关掉。WAF改成阻断模式前，先用两周观察模式验证误报，确认业务无影响再切。整套动作在业务低峰做，每次改完观察24小时。
④ 安全补丁
这次入侵的入口是一台测试服务器，对外开了8080，跑着旧版Tomcat，弱口令admin/admin，被打了webshell。我们把所有对外端口做了一次测绘，发现14个不该开的，全部关掉；测试环境划进独立DMZ，禁止直连内网数据库；EDR从只装不管改成策略下发，全网终端开启实时防护。另外，态势感知的日志原来只存30天，改成180天，这次溯源就吃了亏，攻击者两周前就进来了，日志已经滚没了。
⑤ 验收交付
调优后告警从每天3200条降到76条，其中高危5条，全部可解释。做了三次模拟攻击：弱口令爆破、webshell上传、横向移动，三次都触发告警并推送到值班手机。MTTD从原来的平均9小时降到11分钟。交付一份《安全运营手册》，写清楚每天看什么、每周复盘什么、出了事第一步做什么。
⑥ 售后承诺
安全这事不分节假日，我们承诺2小时响应，重大事件4小时内到现场。大年三十电话不关机，17704868686。终身免费咨询，告警太多先别加设备，把资产和规则理清楚，比买新盒子管用。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）