建设路线

先稳定、后收紧、最后自动化

整套基线用这一句话就能概括。它来自一个很朴素的观察：一次上线过多复杂策略，业务中断、网络异常、员工无法办公、维护复杂度暴增，这四件事会同时发生，而且都是在最忙的那一周。

拆成三个阶段：

阶段	做什么	达到什么状态
稳定	网络分区、资产台账	「谁在哪、谁连着谁」变成事实，而不是约定
收紧	身份收敛、终端加固、策略下发	在事实之上收口，偏离能被看见
自动化	持续扫描、告警、行为基线	系统自己盯着，人只需要处理异常

顺序不能跳。没有「稳定」的「收紧」是在给黑盒上锁——你不知道自己锁住了什么；没有「收紧」的「自动化」是自动制造噪音——告警多到没人看，三周之后所有人学会忽略它。

总体架构

                                       互联网                                       
                           外出人员 ─── SSL VPN ───► 内网                           
                                          │                                         
┌──────────────────────────────────────────────────────────────────────────────────┐
│                           出口网关（NAT · 边界防火墙）                           │
│                      出向只放行 DNS 与 HTTPS，其余默认拒绝                       │
└─────────────┬─────────────────┬─────────────────┬─────────────────┬──────────────┘
              │                 │                 │                 │               
      ┌───────┴───────┐ ┌───────┴───────┐ ┌───────┴───────┐ ┌───────┴───────┐
      │    VLAN 10    │ │    VLAN 20    │ │    VLAN 30    │ │    VLAN 40    │
      │    办公网     │ │    生产网     │ │    生活网     │ │    访客网     │
      │ 10.10.10.0/24 │ │ 10.10.20.0/24 │ │ 10.10.30.0/24 │ │ 10.10.40.0/24 │
      └───────┬───────┘ └───────┬───────┘ └───────┬───────┘ └───────┬───────┘
              │                 │                 │                 │               
┌─────────────┴─────────────────┴─────────────────┴─────────────────┴──────────────┐
│                      三层防火墙（区域模型 · default deny）                       │
│ 生活网 → 办公网：全禁          访客网 → 所有内网：全禁                           │
│ 办公网 → 生产网：仅必要端口      办公网 → NAS：SMB / HTTPS                       │
│ 终端 → 域控：DNS / LDAP / Kerberos / SMB / RPC                                   │
└──────────────────────────┬─────────────────────────────────┬─────────────────────┘
                           │                                 │                      
                  ┌────────┴────────┐  ┌─────────────────────┴─────────────────────┐
                  │     VLAN 90     │  │     VLAN 99 · 管理区 · 10.10.99.0/24      │
                  │    NAS 存储     │  │ VM1 AD 域控：GPO · LAPS · DHCP 保留       │
                  │  10.10.90.0/24  │  │ VM2 Wazuh：Manager · Indexer · Dashboard  │
                  └─────────────────┘  │ NPS：RADIUS / 802.1X 网络准入             │
                                       └─────────────────────┬─────────────────────┘
                                                             ▲                      
┌────────────────────────────────────────────────────────────┴─────────────────────┐
│                终端遥测（分布在 VLAN 10 / VLAN 20 的每一台终端）                 │
│ Sysmon（进程 / 命令行 / 网络连接 / 文件）+ Windows 安全日志                      │
│                        ────── Wazuh Agent 统一上报 ──────                        │
└──────────────────────────────────────────────────────────────────────────────────┘

图里有三层结构值得单独说。

用户侧四个网段，只有办公网和生产网有东西要保护。生活网（手机、私人电脑）和访客网存在的意义就是「放在一个默认不通的地方」——它们不需要被保护得很好，它们需要被关得很严。把这两段漏掉的常见方式，是把家用路由器随手插在办公交换机上（见 VLAN 网络划分）。

管理区是整个架构里唯一什么都不对外的地方。域控、日志平台、准入服务全部收在这里，只有必要的域服务端口（DNS、LDAP、Kerberos、SMB、RPC）从办公网可达。它也是唯一允许被严格到「不方便」的地方——管理区多一层认证，不影响任何人办公。

终端遥测画在最底下，不代表最不重要。每台终端同时跑 Sysmon 和 Wazuh Agent，统一上报到管理区的日志平台。注意那个向上的箭头：遥测的数据流自下而上，但依赖顺序自上而下——没有上面的分区和身份，终端日志只是海量噪声；有了它们，日志才能回答「谁、在什么时候、动了什么」。

六章的顺序为什么不能反

章节	依赖关系
网络	最外层的兜底。网络隔离的优先级高于 EDR：所有终端在同一广播域时，一台被攻破就是全网被攻破，装什么 Agent 都拦不住横向移动
身份	权限的源头。ACL 里写的「办公网段」最终对应到人，AD 组里的一台机器最终落到网络 VLAN
终端	最后一道也最脆弱的一道。它在网络之外、攻击面最广、还掌握着域的凭据
平台	让前三层可观测。没有日志的隔离是黑盒——被拦了还是没来，你分不清
服务	决定天花板。存储、远程接入、网络准入不是起点，但没有它们，基线到不了第二层

反过来做是什么后果：先买 EDR，会发现告警全部来自一台你连它跑什么服务都不知道的机器；先收终端权限，会发现隔壁办公网的终端照样能直连生产网。先分区，再管人，最后才是终端上的软件。

这套架构的上限在哪

面向数十台终端的办公网络。再往上走，哪些直接复用、哪些必须换掉，心里要有数：

规模变化	直接复用	必须升级
成员扩充到上百人	网络分区模型、身份三层结构、日志管道	日志平台吞吐量、告警分流
跨时区 / 跨区域	基线文档与验证清单	商用级 DLP、下一代防火墙（NGFW）
日志量到 GB 级	采集与上报结构	商业 SIEM、专职运维

升级路径都建立在同一个底座上：分区是配置出来的，权限是结构出来的，日志是管道化的。底座歪了，上面换什么商业产品都只是把混乱自动化。