先解决四个现场问题
机构网络最常见的麻烦，是资产散、告警多、没人处置、事后说不清。
资产与入口散落
网站、邮件、接口和远程入口分属不同系统，暴露面没人能一次说全。
邮件网关承压
钓鱼、伪造发件与 SASL 探针持续消耗网关，传统失败日志抓不住提前断开的探针。
告警停在通知
检测系统发了告警，封禁、隔离与复验还要等人工排队，攻击窗口一直开着。
审计证据分散
处置理由散在日志和聊天里，复盘时找不到谁在什么时候改了什么。
系统构成
每一层都能单独部署，合起来才是闭环。
DNS 与邮件纵深防御
本地递归解析与名单联动、发件策略校验、邮件网关筛查、认证探针识别与速率治理。
- 本地递归解析，名单协同更新
- 发件策略校验：SPF、DKIM、DMARC 对齐
- 网关筛查与断开型认证探针识别
- 连接与发送速率治理
检测与自动封禁
社区情报驱动的入侵检测、认证攻击 jail、边缘 WAF 联动与 IP 处置，动作全部写入审计链。
- 社区威胁情报驱动的入侵检测
- 认证攻击自动关押与解禁
- 边缘 WAF 与 IP 处置联动
- 每次处置写入审计链留痕
主机与运行时检测
恶意代码扫描、运行时威胁检测、文件完整性基线与主机安全审计，基线漂移自动进入复验队列。
- 恶意代码扫描与运行时检测
- 文件完整性基线与漂移告警
- 主机安全审计基线留档
- 漂移项自动排入复验队列
处置控制台
资产、告警、授权范围、处置记录与月度复验报告放在一个工作台，机构管理员按岗位查看。
- 资产与告警一屏总览
- 授权范围与升级条件明示
- 处置记录按岗位开放查阅
- 月度复验报告集中归档
平台怎样接入
防御不单独卖一套孤岛。
威胁情报订阅
态势内核供公开威胁与事件数据，客户本地告警与外部情报互相印证。
ONE 托管运营
监控、处置与复验由运营底座持续执行，高影响动作保留人工审批。
机构身份与权限
一号通机构版管岗位权限与访问留痕，谁能改策略、谁能批处置，分开设置。
交付与部署
先做一次真实环境部署与审计复验，再决定托管范围。每一步都留下可验收的产出物。
资产盘点
列清域名、邮件、主机、边缘与远程入口，先把暴露面画出来。
产出物：资产与暴露面清单、入口点位图。
基线部署
按客户环境部署检测与策略，旧规则逐条对账，不直接覆盖。
产出物：部署记录、策略对照表、旧规则逐条处置结论。
受控演练
用探针与回放样本验证检测、封禁与回滚，误伤面单独记录。
产出物：演练报告（命中、时延、误伤清单）、回滚验证记录。
验收与托管
基线复验通过后上线，进入托管运营或交客户自营。
产出物：验收单（四项核查结果）、托管运营计划或自营交接清单。
- 部署形态：传感器与代理进入客户基础设施，控制台可放批准的云、客户本地或专网。
- 交付组合：系统供货、实施建设、托管安全运营，可分开签。
- 验收看四件事：检测命中、处置时延、误伤记录、审计链完整。
合规与授权边界
自动防御的速度，来自事先写清的授权。
授权内自动处置
封禁对象、持续时间与升级条件在上线前书面定版，系统不自行扩大范围。
供应链筛查
设备与组件清单逐项过 Section 889 筛查，被禁厂商产品不进入方案与自有环境。
数据最小化
防御日志按客户策略留存与导出，访问按岗位控制，第三方共享须经客户批准。
审查配合
项目审查时提供系统架构、组件清单、处置记录样例与基线复验口径，配合客户逐项核对。
常见问题
系统会自动封禁吗，封错了怎么办？
只在书面授权内自动处置，超限即停手转人工。授权书写明封禁对象、时长与升级条件；每次处置写入审计链，误伤单独记录，复验不过就回滚策略，处置结论可逐条回读。
部署在哪里，数据会离开我们的机房吗？
传感器与探针装在贵方基础设施内，数据按贵方策略留存。处置台可部署在批准的云环境、本地机房或专网；日志的留存与导出按合同约定，向第三方共享须经贵方批准。
与我们现有的安全设备是什么关系？
先盘点再对齐，不要求推倒重来。基线部署阶段逐条核对既有规则：能协同的接入联动，冲突的给出处置结论后再替换，替换过程全程留痕。
供应链合规怎么保证？
设备与组件清单逐项过 Section 889 筛查。名单内厂商不进入设计与交付，我方自有设施同样排除；组件清单附版本与来源，项目审查阶段逐项核对。
验收具体看什么？
四项：检测命中、处置时延、误伤记录、审计链完整。受控演练先行，四项全过才转入运营，验收结论连同演练报告一起写入验收单。
报价怎么给？
先确认范围，再书面报价，本站不挂价格。把资产范围与现有安全工具清单发来，第一轮回复先给部署路径、授权边界与验收口径，范围确认后出正式报价。
先从一次环境审计开始
提供资产范围与现有安全工具清单，先回部署路径、授权边界与验收口径。
