企业官网建设流程全解析

简介：针对深信服安全感知平台SIP 3.0.53版本的官方用户手册，面向网络设计工程师、系统运维人员等需要部署、调试和维护SIP安全感知平台的读者，帮助其快速掌握产品在实际环境中的软硬件要求、安装配置流程与日常运维方法。文档不仅涵盖SIP的产品版本、系统架构、网络拓扑与关键特性，还从安装部署前的准备工作、软件安装、网络配置，到日常维护、性能优化与故障排除等操作均有详细展开；同时给出符号约定、文档修订记录、官方资料获取渠道、技术支持热线、服务商及服务有效期查询方式，方便运维团队遇到问题时按图索骥。资源以单个PDF文件提供，压缩包整体大小约34.6MB，便于离线查阅或在团队内分发。目前已有1186人在CSDN学习下载，适合作为企业安全运营与设备维护的常备参考文档。

1. 深信服安全感知平台 SIP V3.0.53：这份手册把部署、联动、处置全串起来了

做过安全运营的人基本都绕不开深信服安全感知平台 SIP，而 V3.0.53 这个版本在现网存量里比例不小。这份用户手册最值钱的地方，不是告诉你 SIP 能干什么，而是把一台裸机从网线插好到告警闭环的完整路径写全了——探针放哪、交换机怎么配、AF/EDR/AC 怎么接进来、风险服务器怎么处置，每一步都有对应章节。我拆完这份 PDF 的感受是：它适合两类人，一类是第一次给客户装 SIP 的工程师，照着部署章节走能少翻很多车；另一类是接手了 3.0.53 现场但只会在控制台点来点去的运维，读完处置中心部分才知道 SIP 的联动能力远不止看大屏。

2. 部署前夜：探针位置、镜像流量与平台初始化

2.1 先想清楚客户业务梳理再动网线

手册在安装部署一章里，把准备工作排在很靠前的位置，这和我实际做项目的习惯一致。客户业务梳理不是走形式，它直接决定探针部署位置和后续资产感知的准确度。常见做法是先画一张客户网络拓扑草图，标清楚哪里是核心交换机、哪里是服务器区、办公区和业务系统之间流量怎么走，再决定探针串在哪、镜像口开在哪。

业务梳理至少要产出三样东西：一是网段划分表，哪些段是服务器、哪些是终端、哪些是管理网；二是关键业务系统的 IP 和端口清单，用于后续配置资产感知和风险服务器筛选；三是已有的安全设备清单，比如客户已经装了 AF、EDR 还是 AC，这决定了后面联动章节要配哪些部分。手册里把这一步作为独立小节，说明它踩过的坑不少——最典型的就是没梳理直接上线，结果资产列表里全是乱码和未知设备。

2.2 交换机端口镜像：配置要点与放通项

SIP 的探针部署本质上是旁路听流量，所以交换机配置环节的核心就是端口镜像。这里有一条血泪经验：镜像口接错位置，SIP 控制台上什么都有，但告警就是不来，最后排查才发现镜像的是服务器出方向流量，入方向全丢了。交换机上常见的做法是配置本地端口镜像，把关键互联口或者服务器上联口的双向流量复制给探针接口。

以华为交换机为例，一段常见的配置片段长这样：

system-view observe-port 1 interface GigabitEthernet0/0/10 interface GigabitEthernet0/0/1 port-mirroring to observe-port 1 both quit

这段配置的意思是先定义观察端口 1 对应探针接入的物理口（GigabitEthernet0/0/10），然后在镜像源口上把双向流量复制过去。关键字both代表入方向和出方向都镜像，如果要省钱只想镜像单向流量可以改成inbound或outbound，但安全分析场景我强烈建议用 both。一些老工程师在思科设备上习惯用monitor session 1 source interface Gi0/0/1 both，效果等价，只是命令体系不同。配置完成后，在交换机上执行display port-mirroring确认生效状态，再回到 SIP 平台看探针状态是否在线，这一步能排除八成部署问题。

手册里还专门写了端口放通说明，这一点特别容易被跳过去。平台和探针之间的通信端口、日志中心的接收端口、Web 管理端口，不同版本放通清单会有差异，应该按手册随附的端口放通表逐一核对，不要凭感觉放。我在现场见过有人把平台到探针的管理端口封了，探针显示离线，平台上所有监控数据全部断流，查了半天才发现是防火墙策略挡了。

2.3 平台上线：初始化流程里必须先做的四件事

实体机安装部署这部分，手册给了硬件安装和上架的完整描述，实际装的时候按步骤走就行，真正考验人的是安装完成后的初始化流程。手册把初始化拆成九个步骤，从平台登录一直排到白名单配置，其中我建议把授权检查、网络配置、规则库更新、白名单配置这四件事列为上线标配，顺序不能乱。

先看授权检查。登录平台后第一件事是确认授权是否在有效期，如果授权过期，规则库更新、联动下发、告警推送都会受限制，而且平台不一定给你弹明显错误提示，很多功能就是悄悄不工作。网络配置要核对管理 IP、掩码、网关、DNS 和 NTP，DNS 配错会导致规则库更新解析不了域名，NTP 不同步会导致告警时间轴错位，级联场景里时间不一致尤其致命。规则库和补丁更新放到网络配置之后做，用最新规则库做基线，避免上线第一天就带着旧规则跑。白名单配置排最后，是因为它需要结合资产感知结果来配，先看到资产列表再决定哪些 IP 或域名要排除误报。

2.4 级联与集群部署：什么时候用，注意什么

级联部署和集群部署在手册里标注为可选项，但项目里经常会遇到。级联的场景通常是多级安全运营体系，下级单位部署一套 SIP，上级单位再部署一套，通过级联把下级告警和数据汇总上来。配置级联时重点检查上下级的平台版本要兼容，通信端口要双向放通，并且 NTP 必须统一，否则上下级告警时间线对不上，后续溯源会非常痛苦。

集群部署则是应对性能瓶颈的方案，单台平台处理不过来时就横向扩展节点。手册里描述了集群的部署形态，实操中要特别注意集群内各节点的时钟同步和心跳网络稳定性。我给客户的建议是：未必要一上来就上集群，但硬盘和内存预留要充分，3.0.53 时代的日志量增长比想象中快，集群的扩展能力留给后续业务增长更稳妥。

2.5 资产感知与大屏配置：数据闭环的前两步

初始化流程走到资产感知配置，平台开始真正“认识”客户网络。这一步会把探针采集到的流量聚合成资产列表，识别操作系统、开放端口、应用类型。我发现很多运维把资产感知当成全自动功能，配完就不管了，这是不对的。资产感知需要人工校对——把关键服务器的 IP、业务端口、责任人标注清楚，后续风险服务器处置才筛得准。手册里这段描述得很细，照着把资产标签补全，后面用起来完全是两种体验。

大屏配置建议直接套用手册里的推荐模板，再按客户关心的事项微调。安全感知平台的大屏是给客户领导看的，不是给运营人员用的，所以展示维度要偏向管理层视角——整体安全评分、高危事件趋势、资产风险分布、挖矿检测结果，这几项是客户最容易问到的。

3. 联动才是主角：AF/EDR/AC 接入姿势与权限边界

3.1 每种设备接入前先问一句：它给我提供什么数据

SIP 单独的检测能力已经够用，但真正的闭环价值在于和深信服其他安全设备联动。接入设备要求说明这一节点明了基本原则：不是所有设备都接，接进来的设备要明确它的角色。AF 提供网络层防护和封堵能力，EDR 提供终端查杀和取证数据，AC 提供上网行为信息，SSL VPN 和 WAF 则补充远程接入和 Web 防护的视角。每个设备接入前，先想清楚它能给 SIP 什么数据，SIP 又能给它下什么指令，这个思路能避免接入一堆设备却各自为政的局面。

3.2 AF 接入与联动：告警来源加封堵出口

AF 接入是手册里写得很详细的部分，也是项目里最常用到的联动组合。SIP 检测到风险服务器或风险终端后，可以通过联动策略让 AF 执行封堵——这在处置中心的风险处置流程里是核心动作。

配置 AF 联动有几个容易漏的点。第一，AF 和 SIP 的版本要匹配，跨版本对接时接口字段可能对不上；第二，AF 侧要单独开启联动策略，并配置允许 SIP 下发指令的账号和权限，权限配小了联动失败，配大了又引来安全隐患；第三，联动封堵的粒度要想清楚，封 IP 还是封端口，封多久，这直接影响业务连续性。我在现场就遇到过封堵粒度选错把客户正常业务整个封掉的情况，所以现在做 AF 联动配置时，总是先把处置动作设计一遍再动手。

3.3 EDR 接入：从“看到”到“查杀”的最后一公里

EDR 接入解决的是终端侧最后一公里的问题。SIP 的探针能看到网络流量里的可疑行为，但流量分析只能告诉你“这台终端可能有问题”，无法直接确认终端上到底发生了什么。接入 EDR 之后，SIP 可以把风险终端信息下发到 EDR，由 EDR 在终端上做病毒查杀、隔离恶意文件、采集取证数据。

配置 EDR 接入时，要确认 EDR 控制台和 SIP 之间的账号对接、终端组映射关系。我习惯把 EDR 的终端分组和 SIP 里的资产分组做成一致的命名规范，这样后续处置时两边对应关系一目了然，排查问题时不用拿着两个平台的列表来回比对。

3.4 AC、WAF 与 FTA：数据互补，不是功能叠加

AC 接入主要补充上网行为数据，能帮助 SIP 识别通过 Web 访问产生的异常行为，比如访问恶意链接、下载可疑文件。WAF 接入则是把 Web 攻击的检测结果同步进来，让 SIP 的整体视角里多一层应用层攻击数据。这两种设备接入配置相对简单，主要是账号对接和事件同步开关的确认，但接入后要关注事件量的上涨——WAF 的攻击日志量通常很大，需要确认日志中心容量和对日志存储周期的影响。

FTA 接入这段手册单独写了一节，STA 对接 FTA、FTA 配置、SIP 配置三个步骤走下来，FTA 提供的是文件分析能力，针对 SIP 检测到的可疑文件做深度沙箱分析。实操时注意 FTA 的分析队列容量，大量文件同时进来会把队列塞满，影响检测时效。

3.5 第三方蜜罐对接：一次跨厂商联调的实践

手册里专门写了对接默安蜜罐的配置，这对做安全集成的工程师是个很实用的参考。蜜罐的价值在于诱捕攻击者，但它自身缺少全局分析能力，通过对接 SIP，蜜罐捕获的攻击行为可以作为 SIP 的告警事件汇入统一分析平台。

对接流程分两端：默安蜜罐侧把告警事件通过标准接口推送出来，SIP 侧配置接收并映射事件字段。做跨厂商对接时，最容易出现的问题就是字段语义不一致——比如蜜罐的“攻击源 IP”在 SIP 侧被映射成了“目的 IP”，告警直接变成干扰项。所以我在做这类对接时，总是先小流量测试事件映射，确认每个字段都对应无误后，再打开全量推送。

4. 监控与处置：SIP 控制台的数据闭环

4.1 监控概览与安全检测清单

SIP 控制台登录之后，监控中心是日常工作最先落眼的地方。监控概览页面上，接入设备信息、整体安全态势、风险分布在一张页面上铺开，跑一遍就能了解当前网络的整体状态。手册里特别列出安全检测清单，这是 3.0.53 这一代版本很有价值的检测维度——它把常见的威胁类型、检测方式、对应处置动作整理成清单，运维人员不用自己总结检测规则覆盖是否完整。

挖矿专项检测是单独拎出来的模块，在监管单位和企业内网里都非常受关注。挖矿流量识别不只看有没有访问矿池域名，还看长时间高连接数、特定协议的流量特征。配置挖矿检测时，重点确认检测周期和阈值设置，周期太短容易漏报，太长了又影响响应速度。实际项目里，我一般把挖矿专项检测的结果同步到大屏上，客户对这类事件的数量和处置情况很敏感。

4.2 大屏可视与数据中心可视

大屏可视存在的意义是让管理层一眼看懂安全状态。手册里大屏设置一节提供了多种展示模板，从整体安全评分到事件趋势、从资产风险分布到地图攻击源，都可以按需选择。配置大屏时有个容易被忽略的细节：大屏的刷新频率和展示时段要结合实际场景调，给领导汇报时刷得太快，数据一直在跳，反而看不出趋势。

数据中心可视则更偏向运营人员，按资产维度、威胁类型维度、时间维度对日志数据和告警数据做聚合展示。这部分的筛选条件比较细，支持按时间范围、安全域、资产 IP、告警级别等条件组合查询，用于日常运营和溯源分析非常顺手。日志关联分析功能是 SIP 比较核心的能力，它把不同设备、不同时间产生的日志做关联，能挖出单条日志看不出来的攻击链。使用关联分析时，建议先用手册里的内置关联规则跑一段时间，熟悉规则逻辑后再自定义关联场景。

4.3 处置中心的筛选逻辑与处置动作

处置中心是 SIP 从“发现”到“处置”的落地点，也是和通行安全平台相比最有区分度的部分。手册按风险服务器、风险终端、风险安全域、安全事件几条线拆开写，每一类都有独立的筛选和处置流程。

风险服务器的筛选逻辑，核心是基于资产重要性、漏洞暴露情况和当前告警严重度综合评估。我不能只看告警数量，高危漏洞加敏感业务系统才是优先处置对象。处置动作包括隔离、封堵、通知责任人，每一种动作都对应不同的联动设备——封堵走 AF 联动，隔离可以走交换机联动，通知则通过告警推送完成。

风险终端的处置维度不太一样，终端的数量大、位置分散，处置时要区分“用户视角”还是“终端视角”。手册里用户视角风险处置这个设计很实用，它把风险事件和具体的用户账号关联起来，处置时可以按用户维度统一处理，避免同一用户的多台终端反复告警却找不到责任人。风险安全域处置则是把安全域作为一个整体，按域内风险总量排序，适合安全域划分清晰、按区域管理安全策略的客户。

安全事件处置是更上层的视角，它把多个关联告警聚合成一条安全事件，处置时可以直接对整条事件做操作，不用逐条告警处理。自动响应策略可以自定义触发条件，比如某台服务器出现某种类型的告警时自动执行封堵，但在上线自动响应策略之前，我建议先统计一下客户环境里的误报率，误报高的场景不适合完全自动化，先设置半自动（发送告警待人工确认）跑一段时间再说。

5. 避坑清单：从装到用到联动的常见问题

现象一：探针接入后平台显示在线，但安全告警几乎为零。

原因排查到最后，基本都是镜像流量配置的问题。有的现场只镜像了服务器入流量，出方向攻击流量丢了；有的虽然配了 both，但交换机上联口流量太大，镜像口带宽扛不住，丢包严重导致数据残缺。

解决：按手册探针部署位置要求重新梳理镜像源口，在核心交换机关键互联口上配置双向镜像，并在交换机上确认镜像口带宽足够，必要时拆分多个镜像会话。做完后用 SIP 平台的自检功能或者抓包确认探针确实收到流量。

现象二：规则库和补丁更新一直失败，平台没有明显报错。

原因通常是授权过期或者 DNS 解析不了更新服务器域名。我遇到过一次比较隐蔽的情况，客户网络里 DNS 配置正确，但防火墙策略把平台访问外网的连接拦了一部分，更新请求超时，平台只显示“更新失败”几个字。

解决：登录平台检查授权有效期，确认授权在有效期内；再核对网络配置里的 DNS，直接用平台命令行测试到更新服务器的连通性；最后检查防火墙策略，确保端口放通。

现象三：配置了白名单，但仍然有大量重复告警刷屏。

原因大概率是白名单配得太宽。运维为了省事，把整个办公网段加进了白名单，结果某台终端被感染后，白名单网段内所有终端的告警都被过滤了，安全运营等于睁眼瞎。

解决：按手册白名单配置逻辑，只针对确认无威胁的 IP 或域名加白，不按网段整段加白。白名单增加时要注明原因和有效期，到期自动回看，避免白名单越积越多。

现象四：SIP 侧对风险服务器执行了封堵下发，但 AF 没动作。

原因有两种：一是 AF 侧的联动策略没开启，SIP 下发的指令被 AF 丢弃；二是对接账号权限不够，AF 只收指令不执行。这种问题在 AF 和 SIP 版本跨代对接时特别常见，接口字段或权限模型发生变化。

解决：到 AF 控制台检查联动策略开关和对接账号权限，确认 SIP 侧的联动配置和 AF 侧账号一对一绑定。测试时先从单条告警试封，成功后再批量放开。

现象五：级联部署后，上级平台看到的告警时间比下级晚了一两个小时。

原因就是上下级平台 NTP 没有统一，下级平台的时钟偏移导致告警时间戳错位。安全分析最怕时间轴不准，时间一偏，溯源和关联分析全部失真。

解决：部署级联时把 NTP 同步作为必做项，上下级平台指向同一个 NTP 服务器，检查时区设置一致。上线后定期抽查告警时间戳，发现偏移及时纠正。

6. 收尾习惯：每次部署结束都强制走一遍验证清单

这套手册我不建议通读，建议分段当工具书用。但对于要独立负责 SIP 项目的工程师，我建议把以下清单存下来，每次部署或巡检结束时强制走一遍：探针和平台状态是否在线、镜像流量是否双向可通、授权有效期还有多久、规则库版本是不是最新的、白名单里有没有过期条目、AF 和 EDR 联动策略是否开启、上下级时间是否同步、处置中心能否正常下发封堵。

这个清单看起来基础，但每一项都是我实际翻车后总结出来的。现在项目交付时，我都会拿这个清单做最后验收，所有项打勾才算上线完成。从那以后，每次 SIP 部署我都多花半小时走一遍这套动作，省掉了后续大量的返工和客户投诉。希望帮到你——尤其是在你刚接手一个 3.0.53 的老现场，又不想在探针和交换机之间猜来猜去的时候。

本文还有配套的精品资源，点击获取