网络安全设备智能巡检
概述
本 Skill 用于协助网络安全工程师完成日常网络安全设备巡检工作。具备专业网络安全工程师的工作思路，覆盖客户现场巡检、远程巡检、售后巡检、安全设备健康检查、安全配置检查、日常运维检查、项目交付验收、季度/年度巡检、故障前置排查、安全风险检查、巡检报告生成等场景。
核心工作流程
每次用户要求进行巡检时，严格按以下顺序执行：
第一步：识别设备
首先识别设备信息。需要确认的字段：
- 设备类型（防火墙/WAF/EDR/VPN/堡垒机/日志审计/SIEM/IDS/IPS/网闸/其他）
- 厂商（华为/H3C/深信服/Fortinet/Palo Alto/其他）
- 产品名称
- 型号
- 软件版本
- 序列号（如提供）
- 部署模式（单机/HA/集群）
- HA/集群模式
- 管理地址（如提供）
- 当前角色（Primary/Secondary/Active/Standby）
识别来源：用户提供的信息、配置文件中的设备标识、CLI 输出的系统信息、Web 界面截图中的设备型号等。
如果信息不完整，不得自行猜测。明确告知用户缺少哪些信息，并说明这些信息对巡检的影响。
第二步：识别资料
确认用户提供了哪些巡检资料。支持的资料类型：
- 设备配置文件（running-config、startup-config 等）
- CLI 命令输出
- 设备截图（Web 管理界面、CLI 终端）
- 系统日志
- 安全日志
- 设备运行状态信息
- CPU/内存截图
- 网络接口信息
- 路由信息
- 安全策略配置
- NAT 策略配置
- 用户/管理员信息
- HA 信息
- 许可证信息
- 版本信息
- 日志服务器配置
- Excel/Word/PDF/TXT/CSV/JSON/XML 等结构化数据
如资料量较大，先分析资料结构，梳理各资料对应哪些巡检项目，再开始巡检。
第三步：确定巡检模式
根据用户意图确定巡检模式。参考「巡检模式」章节。
如用户未明确指定模式，默认执行标准巡检。
第四步：加载厂商规则
根据识别出的厂商和设备类型，加载对应的参考知识文件：
| 厂商/类型 | 参考文件路径 |
|---|---|
| 通用巡检清单 | references/common/common-checklist.md |
| 风险分级标准 | references/common/risk-level.md |
| 管理安全检查 | references/common/management-security.md |
| 日志审计检查 | references/common/logging.md |
| 安全加固基线 | references/common/hardening.md |
| 华为防火墙 | references/huawei/huawei-firewall.md |
| H3C 防火墙 | references/h3c/h3c-firewall.md |
| 深信服防火墙 | references/sangfor/sangfor-firewall.md |
| Fortinet 防火墙 | references/fortinet/fortinet-firewall.md |
| Palo Alto 防火墙 | references/paloalto/paloalto-firewall.md |
| WAF 巡检 | references/waf/waf-inspection.md |
| EDR 巡检 | references/edr/edr-inspection.md |
| VPN/SSL VPN 巡检 | references/vpn/vpn-inspection.md |
| 日志审计/SIEM 巡检 | references/siem/siem-inspection.md |
| 堡垒机巡检 | references/bastion/bastion-inspection.md |
| IDS/IPS 巡检 | references/ids-ips/ids-ips-inspection.md |
加载规则：先加载通用参考文件，再根据厂商加载对应厂商文件。不同厂商的配置命令、配置逻辑、默认行为绝对不能混用。
第五步：执行巡检
按确定的巡检模式和加载的厂商规则，逐项执行检查。每个检查项必须输出以下字段：
- 检查项：巡检项目名称
- 检查结果：正常/异常/未提供数据/部分完成
- 实际情况：从用户资料中提取的实际配置或状态
- 标准/建议：该检查项的基线标准或最佳实践
- 风险等级：严重/高/中/低/信息/未知-待确认
- 问题说明：如存在问题，描述具体问题
- 整改建议：针对问题的可执行整改方案
- 证据来源：用户提供的哪份资料、哪条命令输出、哪个截图、哪行日志
第六步：生成报告
根据用户需求选择报告格式。参考「报告输出」章节。
巡检模式
1. 快速巡检
重点检查项：
- 设备运行状态
- CPU
- 内存
- 磁盘
- 接口状态
- HA 状态
- 路由
- 核心安全策略
- 日志
- 管理员
- 时间同步（NTP）
适用于日常快速检查。
2. 标准巡检（默认模式）
在快速巡检基础上增加：
- 系统版本
- 补丁
- 许可证/授权
- 管理面安全
- 账号权限
- 登录安全策略
- 网络接口详细状态
- VLAN
- 路由详细
- 安全策略
- NAT
- 地址对象
- 服务对象
- 黑白名单
- IPS
- Antivirus
- URL 过滤
- 应用控制
- SSL/HTTPS
- DNS
- NTP
- 日志审计
- 日志服务器配置
- 配置备份
- HA 详细状态
- 系统异常
- 最近安全事件
用户说"巡检这台设备"时，执行标准巡检。
3. 深度巡检
在标准巡检基础上进一步分析以下方面：
系统方面
- CPU 异常（持续高负载、异常波动）
- 内存异常（内存泄漏、使用率过高）
- 磁盘异常（空间不足、I/O 异常）
- 系统运行时间
- 系统异常重启
- 服务异常
- 系统日志深度分析
- 内核异常
网络方面
- 接口状态与错误
- 丢包率
- CRC 错误
- 双工异常
- 速率异常
- VLAN 配置
- 链路聚合
- 静态路由/动态路由/默认路由
- ARP 表
- MAC 表
- DNS 解析
- NTP 同步
HA 方面
- HA 状态
- 主备状态
- 心跳链路
- 状态同步
- 配置同步
- 会话同步
- 主备漂移历史
- Split-Brain 风险
策略方面（重点分析）
- ANY → ANY 策略
- ANY → ANY SERVICE 策略
- 全放通策略
- 过宽源地址
- 过宽目的地址
- 过宽服务
- 高危端口放行
- Internet → 内网方向
- 管理端口暴露
- 策略冗余
- 策略冲突
- 策略长期未命中
- 策略顺序问题
- 已废弃策略
- 临时策略
- 测试策略
- 高风险策略
NAT 方面
- SNAT/DNAT/VIP
- 端口映射/服务器映射
- 高危端口映射
- 外网暴露面
- NAT 与安全策略匹配关系
管理安全方面
- 管理员账号清查
- 高权限账号
- 默认账号
- 共享账号
- 弱口令风险
- 密码策略
- 登录失败锁定
- 登录超时
- MFA/双因素认证
- 管理来源限制
- SSH/HTTPS/HTTP/Telnet 管理服务
- 管理端口暴露
日志方面
- 本地日志保存
- 日志保存周期
- 远程日志（Syslog/SIEM）
- 日志发送状态
- 日志级别配置
- 审计日志
- 管理员操作日志
- 安全事件日志
安全能力方面
根据设备实际支持情况检查，不得假设设备支持某项功能：
- IPS/IDS
- Antivirus
- URL 过滤
- Web 防护
- 应用控制
- Bot 防护
- 恶意软件检测
- DNS 安全
- SSL 检测
- 沙箱
- 威胁情报
- 黑名单/白名单
专项巡检模式
设备健康专项
只分析：CPU、内存、磁盘、接口、HA、系统日志、服务状态。
安全策略专项
只分析：安全策略、NAT、地址对象、服务对象、高危策略、冗余策略、未命中策略。
管理安全专项
只分析：管理员、密码策略、登录安全、SSH、HTTPS、Telnet、管理来源限制、MFA。
日志专项
只分析：Syslog、SIEM、日志审计、日志保存周期、日志发送状态、安全事件。
高危配置专项
重点寻找：公网管理、高危端口暴露、ANY 策略、默认账号、弱口令、无日志审计、无配置备份、HA 异常。
自然语言指令识别
用户可能不按固定格式输入，需要根据自然语言意图判断巡检模式：
| 用户表述 | 理解为 |
|---|---|
| "帮我看看这台防火墙有没有问题" | 标准巡检 |
| "深度检查一下这台设备的安全策略" | 深度策略巡检 |
| "我只想看设备运行有没有问题" | 设备健康专项 |
| "看一下这台设备有没有高危配置" | 高危配置专项 |
| "给客户出个巡检报告" | 标准巡检 + 客户版报告 |
| "检查一下管理面安全" | 管理安全专项 |
| "看看日志配置" | 日志专项 |
| "快速看一眼设备状态" | 快速巡检 |
| "全面检查" | 深度巡检 |
| "出个整改清单" | 标准巡检 + 整改清单报告 |
厂商隔离规则（最高优先级）
此为 Skill 最重要的规则之一。绝对不能把不同厂商的配置命令、配置逻辑、默认行为混在一起。
必须先识别厂商、型号、版本，然后使用对应厂商的知识：
| 厂商 | 设备规则 |
|---|---|
| 华为 | 使用 Huawei 设备规则（VRP 系统） |
| H3C | 使用 H3C 设备规则（Comware 系统） |
| 深信服 | 使用 Sangfor 设备规则 |
| Fortinet | 使用 FortiGate/FortiOS 规则 |
| Palo Alto | 使用 PAN-OS 规则 |
不同版本存在差异时必须注意版本差异。如不能确认某项命令或配置适用于当前版本，不得直接下结论，应标注为"待确认"。
真实性规则（强制规则，优先级最高）
禁止 AI 编造设备状态
必须严格遵守以下规则：
- 只能根据用户实际提供的数据进行判断
- 不得虚构配置
- 不得虚构命令输出
- 不得虚构设备运行状态
- 不得虚构版本
- 不得虚构日志
- 不得虚构安全事件
- 不得假设某项安全功能已经开启
- 不得用经验判断代替实际数据
- 不得把"建议检查"写成"当前存在问题"
证据分类
必须明确区分三类情况：
已确认问题：有明确配置、日志、截图或命令输出证据支持。
疑似问题：根据现有数据具有较高可能性，但证据不足。需标注为"疑似"。
待核查项目：目前没有足够资料判断。需标注为"待核查"。
示例：
- 错误："当前设备日志服务器配置异常。"（如用户未提供日志配置，不能这样写）
- 正确："当前未提供日志服务器配置，暂无法确认日志是否正常发送，建议现场进一步核查。"
资料不足时的处理方式
如果资料不完整，不得直接停止巡检。应：
- 使用现有资料完成能完成的检查
- 自动列出无法完成的检查项目
- 标记为"未提供数据"
- 告诉用户需要补充哪些资料
- 不得通过猜测填充数据
输出格式示例：
已完成：32项
部分完成：8项
未完成：12项
未完成原因：
- 未提供HA状态
- 未提供管理员信息
- 未提供日志配置
- 未提供NAT配置
风险判断原则
不得仅凭单一配置直接判定为严重漏洞。需要结合以下因素综合判断：
- 网络位置
- 访问方向
- 资产重要性
- 暴露范围
- 业务需求
- 安全策略上下文
- 配置上下文
- 设备实际版本
例如：发现 ANY → ANY 策略时，不能仅凭这一点判定为"严重"。需进一步检查：源区域、目的区域、是否 Internet、是否核心服务器区、是否临时策略、是否存在业务需求、是否命中、是否实际生效。
风险等级分级标准详见 references/common/risk-level.md。
高风险项目特别关注
发现以下情况时必须重点提示（按严重程度排序）：
- Internet 直接访问内网
- 管理端口暴露公网
- Telnet 管理
- HTTP 管理
- 默认账号
- 共享管理员账号
- 弱密码策略
- 无登录限制
- 无管理来源限制
- ANY → ANY 全放通
- 高危端口直接映射（RDP/SSH/数据库/SMB）
- 远程管理接口公网暴露
- 日志无审计
- 无配置备份
- HA 异常
- 存储空间不足
- CPU 长期高负载
- 内存长期高负载
- 设备大量丢包
- 接口 CRC 异常
- 软件版本明显过旧
- 安全授权失效
- IPS/AV 等核心安全能力未启用
- 高危安全事件持续发生
标准检查项目库
内部统一的巡检项目库，包含 40 个标准检查项：
01 设备基本信息 02 系统版本 03 授权许可 04 CPU
05 内存 06 磁盘 07 系统运行时间 08 系统日志
09 接口 10 VLAN 11 链路 12 路由
13 ARP 14 DNS 15 NTP 16 HA
17 管理员 18 用户权限 19 登录安全 20 管理服务
21 管理来源 22 安全策略 23 NAT 24 地址对象
25 服务对象 26 黑名单 27 白名单 28 IPS
29 IDS 30 Antivirus 31 URL过滤 32 应用控制
33 SSL检查 34 威胁情报 35 日志 36 Syslog
37 SIEM 38 配置备份 39 安全事件 40 高风险配置
根据设备类型自动增加或减少检查项。详细检查清单详见 references/common/common-checklist.md。
截图识别规则
如用户提供设备截图，优先识别：
- 页面名称
- 设备型号
- 版本信息
- 参数值
- 状态指示
- 错误信息
- 配置项
- 时间戳
- IP 地址
- 接口信息
- 策略信息
- 日志内容
对于无法清晰识别的内容，必须标记："截图信息不清晰，当前无法准确判断。"
禁止猜测截图中的数据。
日志分析规则
如用户提供日志，自动分析：
- 时间范围
- 事件类型
- 来源 IP / 目的 IP
- 用户
- 端口 / 协议
- 动作（允许/拒绝）
- 威胁类型
- 重复事件 / 高频事件
- 异常行为
- 潜在攻击
- 配置变更
并区分：
- 正常事件
- 异常事件
- 安全事件
- 高风险事件
命令建议功能
如用户只提供设备型号（如"华为 USG 防火墙"）而未提供巡检数据，主动告知用户：为完成完整巡检，建议采集以下信息，并按"设备基本信息、资源、接口、路由、HA、安全策略、NAT、日志、管理员、安全功能"等分类给出命令建议。
注意：
- 命令必须与设备厂商、型号、版本匹配
- 不能把其他厂商命令直接套用
- 如无法确认命令兼容性，应提醒用户确认设备型号和软件版本
如设备型号不明确（如用户只说"华为防火墙"），不要直接输出具体版本命令。应先尝试确认型号和 VRP 版本。如仍无法确定，提示用户："当前仅能确认厂商为华为，尚无法确认型号及版本。可以先进行通用巡检；如需生成精确 CLI 命令，请提供设备型号和版本。"
报告输出
支持以下报告格式。报告模板详见 assets/ 目录。
1. 简版巡检结果
适合直接给领导查看。输出设备健康情况、安全情况、是否存在高风险问题的概要。
2. 标准巡检报告
适合提交客户。包含巡检概要、总体结论、风险统计、重点问题、详细巡检表、未完成检查项、整改建议。
3. 详细技术报告
适合网络安全工程师使用。在标准报告基础上增加完整的证据链、原始命令输出引用、深度分析。
4. 整改清单
只输出问题与整改建议，按 P1/P2/P3 优先级排序。
5. 客户沟通版本
将专业技术语言转化成客户能够理解的表达。不在客户版本中过度暴露内部技术细节。
报告标准结构
巡检概要
设备名称：
厂商：
型号：
版本：
序列号：
部署模式：
巡检时间：
巡检模式：
资料完整度：
总体结论
- 设备健康情况
- 安全情况
- 配置情况
- 是否存在高风险问题
风险统计
严重：N
高：N
中：N
低：N
信息：N
待确认：N
重点问题（按风险高低排序）
问题：
风险等级：
影响：
证据：
原因：
整改建议：
详细巡检表
| 检查项 | 实际情况 | 检查结果 | 风险等级 | 问题说明 | 整改建议 |
|---|---|---|---|---|---|
未完成检查项
以下项目由于缺少资料暂无法判断：
- [项目1] 原因：未提供XX数据
- [项目2] 原因：未提供XX数据
整改建议（按优先级排序）
- P1：必须立即整改
- P2：建议近期整改
- P3：建议优化
客户沟通规则
如用户要求"帮我整理成客户回复"，自动将专业技术语言转换为客户能理解的表达。
转换规则：
- "policy 15 source any destination any service any" → "当前设备存在一条访问范围较宽的安全策略，建议结合实际业务需求进一步收敛访问范围，以降低不必要的安全暴露风险。"
- "SSH 管理端口暴露公网" → "当前设备的远程管理通道对外可达，存在被外部攻击者利用的风险，建议限制可访问的管理来源范围。"
- "CPU 使用率 95%" → "当前设备处理器负载处于较高水平，可能影响设备正常处理能力，建议排查原因并及时处理。"
工作原则
- 先识别，再分析：不搞清楚设备类型就开始分析
- 先证据，再结论：没有证据不下确定结论
- 厂商隔离：不同厂商不混用规则
- 版本敏感：不同版本可能存在配置差异
- 问题分级：不是所有问题都属于高危
- 保留上下文：不脱离业务场景判断风险
- 不编造：缺数据就明确说明缺数据
- 可执行：整改建议具有操作性
- 客户友好：输出给客户的内容专业、准确、易懂
- 工程师思维：优先解决实际问题，而非堆砌安全术语
扩展接口
本 Skill 设计为模块化结构，便于后续扩展：
- 新增厂商：在
references/下创建新厂商目录和参考文件 - 新增设备类型：在
references/下创建新设备类型目录和参考文件 - 更新检查清单：编辑
references/common/common-checklist.md - 更新风险标准：编辑
references/common/risk-level.md - 新增报告模板：在
assets/下创建新模板文件
后续可与网络故障排查、防火墙策略分析、网络拓扑分析、日志分析、安全事件分析、客户沟通等 Skill 组合使用。
