分期路线

为什么分阶段

一次全上必然出事。VLAN 划错一段、GPO 收紧一次权限、Agent 推一轮，任何一件单独做都可控，三件同时做，故障排查就变成了「到底哪一件干的」。

阶段之间必须试运行：涉及高强度日志收集、认证联动的变更，先小范围跑一段时间，确认业务正常再往下推。急着进下一阶段省下的时间，会以故障排查的形式还回去，还带利息。

七个阶段

阶段	内容	完成标志
一	VLAN、ACL、NAS 独立网段	生活网与访客网无法到达办公网；办公网到生产网默认不通
二	AD 域控、GPO、DHCP 保留	所有终端加域；本地管理员密码由 LAPS 托管；地址可追溯到设备
三	Sysmon、Wazuh	每台终端有进程级日志；资产台账自动生成
四	SSL VPN、DNS 过滤	外出人员不经过任何公网暴露面访问内网
五	ntopng、Suricata、Zeek	出口流量可分析；有第一条真正触发的规则
六	802.1X、RADIUS、NAC	未登记设备接入网络后自动落到隔离区
七	DLP、NGFW、零信任、SOAR	商业方案替换自建部分，基线整体平移

新硬件到货会让节奏变化：第六阶段（网络准入）在新交换机到位后可以提前到第二、三阶段同步做，它和身份域、终端遥测本来就是互相验证的关系。

每阶段怎么落地

第一阶段：基础网络隔离

目标是让「互通」从默认变成例外。动作：VLAN 划分、ACL 策略、NAS 独立网段。这一段不装任何 Agent、不碰任何账号，纯网络变更，出问题回滚最快，所以放在最前面。交换机上的 port-security、trunk allow-pass 显式列出，都是这一阶段的事（见 VLAN 网络划分 与 访问控制列表）。

验收：从生活网 ping 办公网网关，不通；从办公网连生产网任意端口，不通；办公网访问 NAS 的 SMB 与 HTTPS，通。

第二阶段：身份域

目标是权限跟着岗位走，紧急情况下还能救机器。动作：AD 域控、GPO 基线策略、DHCP 保留、LAPS。关键不是「装个域控」，是三层账户模型落地：域用户日常登录、IT 管理员组管本地管理员组、.\AdminLocal 交给 LAPS 托管（见 Active Directory 权限模型 与 LAPS 本地管理员密码）。

验收：任意一台终端，本地管理员密码不知道也没关系——从域里能查到，而且是随机的；任何一台终端的 IP 都能在 DHCP 保留表里找到对应 MAC。

第三阶段：终端遥测

目标是每一台机器的行为可重建。动作：Sysmon 全量部署 + Wazuh 平台上线。顺序上先 Wazuh 后 Sysmon——先有接收端，再铺采集端，不然日志散在各台机器上等于没有。这一阶段日志量会明显上涨，SSD 容量要提前看（见 Sysmon 主机遥测 与 Wazuh 部署架构）。

验收：在任意终端执行一条带参数的命令，能在 Dashboard 里按时间、按主机、按账号查到命令行原文。

第四阶段：远程接入

目标是把内网的暴露面收敛成一个入口。动作：SSL VPN 上线，NAS 不再直接暴露公网；DNS 过滤、URL 过滤。VPN 后期与 AD 账号联动，让「VPN 能进」等于「域账号有效」（见 SSL VPN 与远程接入）。

验收：从外网直接访问 NAS 的任意端口，超时；通过 VPN + 域账号，能访问且访问记录可查。

第五阶段：流量分析

目标是从「主机上发生了什么」扩展到「网络上正在发生什么」。动作：ntopng、Suricata，资源允许再加 Zeek。Suricata 和 Zeek 的 CPU 占用不低，这一步的前置条件是服务器升级到位，不是意志力到位（见 安全监控）。

验收：能回答「昨天出网流量最大的三台机器是谁」；至少一条本地规则被真实流量触发过。

第六阶段：网络准入

目标是没登记的设备进不来。动作：802.1X + RADIUS（NPS）+ 交换机 / AP。不要一开始就全网启用——打印机、NAS、IoT 设备、还有临时来访的笔记本，全部会在认证环节掉线（见 802.1X 与网络准入）。

验收：一台未登记的设备接入办公网口，拿不到办公网段的地址；登记后接入，正常。

第七阶段：企业级方案

目标是把自建基线里「够用但吃力」的部分换成商业方案。动作：DLP、NGFW、零信任、SOAR。这一阶段的输入不是需求文档，是前六阶段积累的日志和误报记录——它们告诉你哪些自建组件最先撑不住。

实施路径：测试 → 小范围 → 全员 → 核心

每一阶段的推广走同一条路，四步，一步都不能省：

① 测试环境          验证配置本身对不对
        ↓
② 小范围办公网       1–3 台机器，观察业务影响
        ↓
③ 全员办公网         确认无副作用后推开
        ↓
④ 全部核心 PC        最后才动最关键的生产终端

核心 PC 放在最后，是因为它们是业务连续性的底线：前面三步里任何一步发现的问题，都不该发生在它们身上。生产网（VLAN 20）的策略永远比办公网更晚一步推开——它验证过的配置，办公网直接受益；办公网的配置，它一个都不信。

容易走偏的四个地方

1. 把所有东西装在一台机器。 域控、Wazuh、Dashboard 全塞一台，出问题等于全灭，排查时日志和故障还缠在一起。管理区至少两台 VM，各管一件事。
2. 不开 GPO 审计日志。 只装 Sysmon 不设审计，结果是「能看到行为，看不到人」——进程链完整，但那个进程是哪个账号发起的，查不到。Sysmon 和审计日志互补，缺一个都不完整（见 组策略与终端强制）。
3. 只装 Wazuh 不装 Sysmon。 检测能力直接砍半：没有进程创建事件和命令行，日志里只有「某台机器重启了」，没有「谁执行了什么」。
4. 把宿主机当服务器用。 管理服务跑在办公宿主机上，宿主机一关全部监控消失，重启还连带一堆依赖。服务一律进 VM（见 Wazuh 部署架构）。

三件拉开差距的事

基线做完只是「有了」。真正让这套东西像企业安全体系，是接下来三件事：

1. Sysmon 用成熟配置，别从零写。社区里有经过大量生产验证的公开配置（如 SwiftOnSecurity 版本），自己写的第一版必然误报遍地。
2. Wazuh 规则只保留高价值的那批。 规则越多噪音越多，噪音越多越没人看，这是个死亡螺旋。宁少勿多，每条规则都要有明确的处置动作。
3. 建行为基线。 谁平时干什么、连哪些地址、几点在线。有了基线，异常行为才能被识别；再进一步，可以做个简单的员工异常行为评分模型——不需要复杂，能把「这台机器今天的行为不像它自己」标出来就够了。