一、项目背景及目标

宁夏银行深入推进“数字金融”战略部署，致力于数字金融安全可信运行。面对云计算、大数据等新型基础设施引入所伴生的主机安全威胁，我行于2025年6月启动主机安全防护系统建设，围绕“纵深防御”理念，建设了一套主机自适应安全平台。项目于2025年12月完成全行落地，实现了对全行主机资产的统一管控与攻击面统一管理，具备资产自动清点、脆弱性闭环分析、Webshell高级检测及主动威胁狩猎四项核心能力，显著提升了内网威胁感知和应急响应水平，为我行数字业务安全稳定运行提供了坚实保障。

（一）市场背景与需求分析

随着“十五五”规划的到来，数据成为新型生产要素，金融机构数字化转型已进入深水区。在引入大数据、人工智能、云计算等数字基础设施的同时，网络安全风险日益凸显。根据国家互联网应急中心（CNCERT）数据，2024年我国境内感染计算机恶意程序的主机数量约304万台，同比增长25.7%；52000个恶意程序控制端控制了我国境内约531万台主机。传统以边界防护为核心的安全体系，面对利用0-day漏洞、鱼叉攻击、水坑攻击等手段发起的APT高级持续性威胁，越来越力不从心。

随着信息化程度不断提升，行内服务器规模持续扩大，业务系统架构趋于复杂，涵盖物理机、虚拟机、云主机、信创主机及容器等多种工作负载形态。然而，现有安全体系主要聚焦于网络边界防护，缺乏针对主机层面的精细化安全检测与管控能力，存在以下主要痛点：其一，资产底数不清：依靠人工表格维护资产台账，时效性差、准确率低；其二，攻击面不可控：漏洞与弱口令扫描依赖网络流量探测，误报率高、覆盖不全；其三，入侵检测能力薄弱：缺乏对Webshell、内存马等高级攻击手段的有效检测；其四，溯源响应效率低：告警孤立分散，安全运营人员难以快速还原攻击链。

（二）项目立项背景

近年来，公安部等国家主管部门持续推进网络安全等级保护2.0合规要求，金融行业监管部门亦加强了对关键信息基础设施安全建设的考核督导。我行在参加年度攻防演练过程中发现，攻击方在绕过边界防御后，能够迅速打点主机并横向渗透，而己方几乎无有效手段阻断。行领导高度重视，启动主机安全防护系统专项建设，要求实现全天候的内网威胁感知能力。

（三）项目目标

本项目设定以下核心目标：

构建主机资产统一管控体系，实现全行服务器资产自动发现、细粒度清点与全生命周期管理；

建立攻击面统一管理机制，通过持续漏洞扫描与弱口令检测，有效收敛风险暴露面；

部署高精度入侵检测能力，覆盖Webshell、异常进程、异常登录等主流攻击场景；

形成主动防御与威胁狩猎能力，对未知威胁提前感知、及时处置；

满足等保2.0合规基线要求，建立标准化安全基线管理体系，支撑监管合规。

二、创新点

（一）复杂环境下大规模资产自动化管理

项目提出基于Agent的分布式数据采集模型，实现了从物理机、虚拟机、私有云、混合云等多形态工作负载的全方位、深度自动化资产清点，可采集涵盖操作系统、中间件、数据库、软件应用及开源组件在内的800余类、近万种资产信息，单套服务端可统一管控超过1万点业务集群。相比传统人工录入方式，资产管理效率从“人天级”提升至“分钟级”（单台扫描用时不超过1分钟，多台并发扫描用时445分钟），从根本上解决了大规模场景下资产管理的时效性和准确性问题。

（二）高并发场景脈弱性自动闭环分析

项目采用主机探针式白盒扫描机制，建立自内而外的脆弱性分析视角，克服了传统网络流量型漏洞扫描占用网络资源、误报率高、无法并发扫描等缺陷。该模型能精准发现软件漏洞、弱密码账户及内核模块漏洞，并将风险数据与资产信息自动关联，实现漏洞管理“发现—评估—整改—验证”全闭环，极大提升安全运营效率。

（三）变形木马高级检测引擎

项目引入了AI-Webshell检测引擎。引擎不依赖正则匹配，而是通过将复杂变形与混淆代码回归等价最简形式，借助AI推理发现Webshell中的可疑内容，对私有定制Webshell和高度加密混淆Webshell均具有较强检出能力。引擎Webshell检测率高达99.54%，漏报率和误报率均达行业领先水平，且支持静态间隔扫描、实时扫描与岗路检测三大模式，真正做到“防绕过”。

（四）基于机器学习的未知威胁主动狩猎

项目应用图神经网络进程行为嵌入技术，构建了基于业务进程创建模式的基准模型。系统对偏离基准模型的进程链自动打锁点标记，形成符合本行业务特征的“全维度白名单基线”体系，可在不影响正常业务的前提下，实现高置信度的未知威胁主动狩猎与攻击事件渆源分析。这一技术创新有效弥补了传统规则型检测对新型未知攻击手段的覆盖盲区。

三、项目技术方案

（一）整体规划

本项目基于Gartner自适应安全架构，将预测、防御、监控与响应四项能力融为一体，形成安全闭环，从根本上改变传统安全体系“重防御、轻感知”的建设模式。项目整体分两个阶段实施：第一阶段（2025年7月至2025年8月）完成测试环境平台部署、资产全量清点及基线核查；第二阶段（2025年8月至2025年12月）完成生产环境平台部署、资产全量清点及基线核查；第三阶段（2026年1月至2026年3月）完成漏洞管理闭环、入侵检测上线及威胁狩猎模型定制化调优。

（二）技术架构

平台采用Agent-Server-Console三层分布式架构。Agent（主机探针）以一条命令完成安装，运行轻量，持续采集进程、网络连接、端口、账号等主机信息并实时上报；Server（核心平台）作为信息处理中枢，支持横向扩展分布式部署，对Agent上报数据进行持续检测分析，识别漏洞、弱密码、异常行为等安全风险，并实现实时预警；Console（控制中心）以Web控制台形式提供统一的安全检测结果展示、威胁告警、响应操作及配置管理，同时通过Syslog协议与API接口向行内态势感知平台和CMDB资产管理系统提供数据联动。为满足我行信创合规要求，平台适配了飞腾、鲲鹏、海光等信创CPU架构及中标麒麟、银河麒麟、UOS、华为欧拉等国产操作系统，确保覆盖全行不同类型主机终端。

（三）核心功能模块

1.资产清点：自动清点800余类资产，涵盖操作系统、中间件、数据库、Web应用、账号、端口、开发框架等，实时追踪业务变化，并与安全风险和入侵事件自动关联。

2.风险发现：基于主机探针白盒扫描，持续检测软件漏洞、弱口令、配置风险及资产暴露性风险，实现漏洞管理全闭环，平均漏洞响应时间小于24小时。

3.入侵检测：覆盖100余个入侵场景，支持Webshell、异常登录、异常命令调用、暴力破解等多锡点检测，入侵告警时间小于15秒。

4.合规基线：内置等保2.0与CIS双基线体系，可针对每台主机实施“一机一基线”管控，支持自定义基线策略，覆盖操作系统、数据库、中间件等多类别，检查清单超1500条。

5.威胁狩猎：结合图神经网络进程行为建模，对偏离基准进程模式的异常行为自动打标，并提供攻击链分析、时间线分析等源源工具，辅助安全运营人员快速还原攻击过程。

四、运营情况

（一）推广应用情况

自2026年起，主机安全防护系统正式在我行全行范围上线运营，覆盖测试开发、准生产及生产三大环境，实现了对全行主机资产的统一纳管与持续监控。

（二）系统运行情况

系统上线后运行稳定，资产自动收集与更新已成常态化工作机制。当前系统已梳理出20余种不同版本操作系统，400余种系统账号，6000余种运行端口，10000余个计划任务；应用层面梳理出70余种应用软件、400余个数据库、6000余种系统安装包及20000余种Jar包；Web层面梳理出7种Web应用、600余个服务及大量无用端口与废弃账户。在漏洞管理方面，已完成300余次漏洞扫描与弱口令扫描，实现了漏洞管理全闭环。在基线合规方面，已制定3类12个操作系统版本基线1000余条、7类数据库基线60余条、8类中间件基线80余条，整改加固百余套业务系统，共处置2万余条基线不合规项。在入侵检测方面，系统已帮助发现若干起历史遗留木马文件及内网不合规异常操作事件，有效提升了内网安全监控能力。

五、项目成效

（一）经济效益

项目直接提升了全行主机的安全稳定运行水平，项目上线以来系统成功拦截了多类真实攻击行为。本项目通过主动防御大幅降低了此类事件的发生概率，其潜在风险防控价值显著。通过构建主机安全防护体系，将安全运营从传统的“人工巡检”模式升级为“自动化持续监控”模式，大幅降低了人力运维成本，同时加快了金融数字化转型进程，为行内营收多通道建设提供了稳定的安全支撑。

（二）社会效益

本项目有效保障了我行重点关键信息基础设施的安全稳定运行，维护了区域金融市场的稳定与人民群众的金融财产安全。项目的成功实施还带动了安全运营服务、资产漏洞全周期动态管理、安全处置响应编排等相关领域高新技术产业的发展，推动了金融行业网络安全技术的产业结构优化，为同行业金融机构提供了可借鉴、可复制的主机安全建设范本。

六、经验总结

（一）项目建设经验

以资产清点为安全建设起点。实践证明，没有清晰的资产底数，一切安全措施均是空中楼阁。本项目将资产自动化清点作为首要工作，快速建立起全行主机资产视图，为后续漏洞管理和入侵检测提供了精准的数据基础。

以业务视角重构安全运营逻辑。传统安全建设往往以边界防护为核心，本项目明确转向“以资产为中心”的纵深防御体系，强调从主机内部出发，建立自内而外的安全视角，有效填补了边界安全的防护盲区。

以合规基线驱动安全整改落地。将等保2.0合规要求与CIS安全基线结合，实施“一机一基线”差异化管控策略，既满足监管要求，又贴合实际业务环境，显著提升了基线整改的针对性和执行率。

以持续运营实现安全能力内化。安全不是一次性工程，而是持续优化的过程。本项目在技术工具部署完成后，持续开展漏洞管理闭环运营、威胁狩猎模型调优及安全团队培训，逐步将外部产品能力转化为我行内生的安全运营能力。

（二）推广建议

本项目的建设路径和经验对同类金融机构具有较强的借鉴意义。建议其他单位在启动主机安全建设时，优先完成资产基线摸底，明确安全现状；其次选择支持信创环境适配的主机安全平台，确保覆盖全量工作负载；再以合规驱动基线整改，形成可量化的安全改进指标；最终构建常态化安全运营机制，实现安全能力的持续提升与自我演进。