《甲方安全建设精品采购指南2026》案例深度解读｜雾帜智能

安全419重点推荐

面对市场上数以千计的安全产品与解决方案，甲方客户普遍面临"选择困难"：产品宣传口径五花八门，落地效果真假难辨，选型试错成本居高不下。为此，安全419发起《甲方安全建设精品采购指南》案例征集活动，从近300份提交资料中臻选出近百份入围方案，再经精心调研与深度评审，最终评选出2026年度最佳12个案例，并已正式发布《甲方安全建设精品采购指南白皮书（2026）》。本系列报道将逐一深度解读这12个精品案例，为甲方安全建设提供可参考的实战范本。

当安全设备越堆越多、告警越刷越密，安全团队却陷入"人盯不过来"的困局。国内烟草行业首个大规模实战落地的自动化安全运营项目——雾帜智能为四川中烟打造的网络安全风险智能决策平台，用20多个自动化剧本把监测、研判、通知、协同、处置串成一条自动流水线：2024年全年自动化处置安全事件997144件，运营人员从3人精简至1人，公安部国家级攻防演习"零扣分"。本期深度解读，看自动化如何把安全运营从"成本中心"变成"效率引擎"。

一、案例背景

为了防范各类网络攻击、主动感知网络威胁，四川中烟经过多年建设，已具备安全审计、入侵检测、WAF、流量分析、防火墙、漏洞扫描等安全能力。但这些安全能力各自为战、彼此缺乏有效联动，传统安全处置模式在监测、研判、通知、协同、处置等环节过度依赖人工，事件处置极为被动、时效差，无法满足“高标准、高安全性、高效率”的安全运营要求。

为应对上述挑战，四川中烟希望在现有资源及业务流程可行的基础上，构建一套网络安全风险智能决策平台。通过平台的自动化编排系统，将各类安全应急响应动作进行组合，按剧本化方式自动开展应急响应工作；借助编排好的响应剧本，在安全事件发生时以自动化手段响应，降低人工依赖，实现自动收集、自动调用、自动研判、自动同步和自动封禁，推动网络安全从被动向主动、从静态到动态、从单点到整体、从粗放到精准防御转变，构建“威胁感知、分析定位、智能决策、响应处置”的快速安全闭环能力。

二、关键挑战

多设备信息数据无法有效利用：各类安全设备每天产生海量信息数据，因孤立存在于本地设备中，无法自动关联利用，导致安全事件易被忽略和滞后响应。

异构设备无法联动，日常运维困难：不同厂家、不同品类的安全设备之间无法数据共享和互操作，安全人员需在多个系统间来回切换，影响运维效率。

安全监控时间缺失：大量攻击者习惯夜间活动，而夜间企业内部业务系统恰是防护最薄弱时段，安全人员无法做到7×24小时实时监控。

事件响应时间缓慢：响应处置基本依赖人工，流程与操作难以一致，分析人员不足、处置效率低下，大量告警被忽略；重保时期告警激增，人工无法及时响应。

安全事件响应经验知识难以沉淀：调查处置依赖分析人员经验，往往只能言传身教，极易流失，经验知识无法及时传承。

三、解决方案

本项目以HoneyGuide智能风险决策系统为核心，围绕安全事件，以提升发现能力（监、检、测）和处置能力为重点，依托全网信息采集、信息分析等基础能力建设，以智能预警为基础，在既有信息安全防护体系基础上结合新型网络安全技术：底层运用大数据技术夯实数据基石，中层利用人工智能提升核心安全分析能力，上层应用可视化技术直观展示数字化安全态势感知，自下而上构建持续性安全监测、分析、预警、响应的网络安全态势感知体系，实现安全威胁的主动感知和联防联控。

智能风险决策系统承担连接中枢和调度指挥中心的角色：上游系统可以是态势感知、SIEM或SOC等产品，下游系统可以是网内已有的基础能力，包括安全产品、网络设备、IT系统和SaaS服务等。通过充分利用安全编排与自动响应能力，消除安全系统/工具之间的数据壁垒、互操作壁垒，将安全运营人力从系统运维中解放出来，让运营人员更专注于安全编排、剧本编写及更高阶的技术分析工作，全面提升风险定位和事件响应效率。

HoneyGuide智能风险决策系统架构

四、主要建设内容

1.整体架构设计：采用模块化、松耦合架构，确保系统扩展性和灵活性。平台包含数据采集、分析决策和执行响应三个核心，上层与态势感知系统、SIEM平台等深度对接，下层与各类网络安全防护设备和IT基础设施建立联动机制，形成完整的自动化监测、研判与防御闭环。

2.7×24全方位安全监测：构建全天候不间断的安全监测体系，通过自动化巡检、实时告警、异常行为检测等手段，对网络流量、系统日志、用户行为等关键安全要素持续监控，覆盖网络边界、核心业务系统、重要数据资产等关键节点。

3.原子能力池化：打造原子能力资源池，整合防火墙、IDS、WAF等各类安全设备的核心防护能力，打破“能力孤岛”，将分散的安全能力解耦为可独立调用的原子化服务应用。

4.智能协同作战室：为每一个信息事件创建独立的虚拟作战室，参与处置的人员支持不同角色身份加入并适配不同权限控制；支持基于文字、图片和附件等方式的在线沟通协同，并提供支持自然语言交互的AI机器人，方便管理员快速调用网内基础安全能力、网络设备、IT系统和SaaS服务等。

5.可视化编排引擎：提供直观易用的图形化剧本编排界面，安全管理员可通过拖拽方式快速构建自动化响应流程；支持自定义剧本编排和系统自学习的智能编排，加速事件响应，协助构建安全运营体系，降低运营成本。

6.知识管理体系：已完成的剧本可作为本地知识库沉淀，针对每个处置完成的信息事件可一键生成事件总结报告并导出PDF等格式，查看事件发生时间、参与人员、处置过程、综合处置时效及总结等信息，帮助团队不断积累和沉淀处置经验。

五、解决的关键问题

安全设备协同难题：打破传统安全设备各自为政的孤岛状态，实现防火墙、IDS、IPS、WAF等安全组件的深度联动，检测到威胁时可自动触发跨设备多层次防护策略，形成立体化防御体系。

海量告警响应滞后：实现海量安全告警的智能聚合与研判，通过预置自动化响应剧本自动关联多源数据综合研判，快速定位真实威胁并自动化处置，将常规安全事件处置时间从小时级缩短至分钟级甚至秒级。

安全知识传承困境：构建可沉淀、可复用的安全知识库，将专家经验转化为标准化响应剧本，新进人员借助剧本知识库与智能辅助决策，可在短期内达到资深分析师处置水平。

人工操作风险与效率瓶颈：通过自动化工作流替代80%以上的重复性人工操作，避免人为失误导致的配置错误，将响应时间从数小时缩短至分钟级甚至秒级。

应急响应协同困难：通过虚拟作战室实现多部门在线协同处置，借助自然语言交互的智能AI助手快速调取所需安全能力和数据，提升协作效率。

运营流程标准化难题：通过预置标准化响应剧本，将各类安全事件处置流程固化为可重复执行的自动化工作流，确保不同人员对同类事件采取统一、规范的处置动作。

六、建设收益

1.运营效能全面提升：常规安全事件响应时间从人工处理模式大幅缩短，基本实现分钟级甚至秒级响应；绝大多数日常安全事件可自动处置，使安全团队能将有限人力集中于关键威胁分析与应对，各安全系统间协同联动显著增强。

2.安全防御能力升级：通过标准化响应流程和智能分析技术结合，安全事件处置准确率和闭环率明显提升，对高级持续性威胁的发现和处置能力显著增强，防御体系从被动响应转变为主动防御。

3.运营管理体系优化：建立完整的知识管理体系，实现安全经验持续沉淀和复用，团队整体能力快速提升；通过流程标准化和自动化，运营成本有效控制。

4.协同决策能力突破：基于虚拟作战室的协同机制改变传统单兵作战模式，实现跨部门高效协作，智能辅助决策功能为安全团队提供实时建议。

5.安全运营可视化呈现：构建多维度安全态势可视化，通过交互式仪表盘实时展示全网安全状态、威胁分布、处置进展与结果，支持从宏观态势到微观事件的逐层钻取分析。

七、项目实战成效

项目建成后，全面提升关键信息基础设施和重要信息系统“实战化、体系化、常态化”的综合防御对抗能力，打造了一套更加规范、高效、智能的一体化安全运营保障体系。

一是增强体系化的动态防御能力：将有价值的事件处置过程沉淀转化为安全自定义剧本，便于运营过程规范管理、运营经验复制传承，建立起动态感知、动态验证、动态处置的“动态”防御机制。2024年全年该平台自动化处置安全事件997144件，自动化封禁地址1.4万个，高效保障公司信息系统正常运行。

二是实现常态化的自动运维：通过编制的各类安全事件处置剧本，自动化处理大量重复繁琐的安全运维任务，日常安全运营人员由原先的3人精简至1人；实现非工作时间由人工值守向自动值守的无缝转换，形成7×24小时全天候安全事件自动化响应机制；安全事件从发现到处置的完成时间由几小时缩短至1分钟之内。

三是凸显实战化的卓越成效：四川中烟在2024年行业攻防演习等实战场景中，该体系自动处置效率达到99%，成功自主封禁IP约3000个，保障2024年参加公安部组织的国家级攻防演习“零扣分”。

八、相关成果

•2024年11月，四川中烟基于本成果撰写的《基于自动化安全运营平台的常态化防护技战法》成为2024年行业唯一案例入选公安部优秀技战法汇编，获得行业通报表扬，相关建设经验在行业交流会上做专题分享。

•基于本平台编写的QC小组活动报告《提高网络安全风险处置效率》获得公司内部三等奖。

•基于数字安全产业研究院审核评估，荣获2025年度数字安全典型案例，入选《中国数字安全价值图谱》典型案例。

九、创新性与优势

本次项目是国内烟草行业首个大规模场景实战落地的自动化安全运营项目，是真正通过安全编排自动化为安全运营极速降本增效的实践：通过对接多种设备统一联动，对多源安全情报信息流程化自动获取，快速拉齐信息同步，有效避免信息不同步导致的安全危害；同时将安全运营相关的人员、设备和流程通过编排和自动化技术整合在一起，有序处理多源数据，持续进行安全告警分诊与调查、威胁猎捕、案件处置、事件响应，最终实现高效、智能的安全运营。

智能风险决策系统已逐步成为四川中烟安全运营中枢，已落地并稳定运行的剧本包括：外网安全威胁自动核查封堵、漏洞扫描与自动化复核、主机/终端安全事件处置、威胁情报/企业微信通报处置、链路与核心设备状态监测、VPN异常事件处置等4大类别20多个自动化剧本。以“外网安全威胁自动核查封堵”为例，高峰期每天有接近1万条告警，在事件监测（7×24小时）、研判（风险类型、威胁等级、是否白名单、资产信息补全、归属地判断、情报查询）、协作（多公司、多部门、多角色、多人员）、通知（短信、企业微信、邮件）、处置（多品牌/多设备、阶梯式封禁）等各个环节，传统人工方式不可能完成，而这仅仅是其中一个剧本，当实现的场景越多，价值呈几何级增长。

外网安全威胁自动核查封堵剧本流程

十、经验总结

在具体落地实施过程中，需要充分考虑以下两点：一是安全剧本场景是否足够丰富；二是安全能力对接是否足够全面。

在该客户项目成果落地一年后，取得了特定安全场景极速降本增效的运营实战效果。但四川中烟在网络安全运营方面还有更高的追求，希望未来可以将更高比例的安全事件通过SOAR去处置，更多的经验通过安全剧本去沉淀，更便捷的协同工作通过SOAR去落地。