文章总结： 重保期间需制定全面方案，明确时间、值班安排、保障工作、汇报规则、联络清单及应急响应机制。重点监测态势感知、WAF等安全设备告警，注意IP封禁规则，避免误封。遇被打穿或网络故障等紧急情况，保持冷静，及时上报并按预案处理。后勤方面，确保饮食充足，准备舒适休息环境，以维持工作状态。
综合评分： 100
文章分类： 应急响应,安全运营,实战经验,安全建设,网络安全
安服仔单兵驻场指南——重保
原创
这小子嘴硬
一己之见安全团队
2025年12月1日 09:00
广西
啊，这个系列能开到第三期还真是多亏了我善解人意从不压榨我的领导啊，让我发觉有那么多东西可以跟大家分享。
今天就讲讲——重保。
经验丰富、接触行业广的师傅肯定知道，不同行业或者不同面的甲方对重保的要求是不一样的，需要重保的时期也不一样，除去hvv，也会有很多需要7*24小时值班的时刻。这里就统一分享一下关于7*24的重保都有哪些需要注意的事情吧，尤其是一个人驻场的单兵小外包们。
A 重保方案
没猜错的话保障方案都是小外包写好了再交给甲方过目，也可能是拿往年的改一改、修修补补就成了新的方案了，如果是小外包自己写的就记得一定要问客户或者同事要往年的来“借鉴”一下，千万不要自己灵机一动最后拉托大的，重保求的首先是稳。如果实在没有要自己写的…我过两天再出一期写报告的…
记得一定要一定要一定要包含以下信息：
重保时间——几号到几号，是7*24响应还是7*24在现场值班。
值班安排——谁、哪天、几点来现场值班，按照班次排好。
保障工作——现场值班要干嘛，看什么设备、看哪些指标、需要重点注意哪些告警。
汇报规则——是否需要向谁？多久一次？哪些内容？的汇报，标准模板写进去。
联络清单——一份清晰的紧急联络清单，包含甲方各接口人（安全、运维、应用、领导）、乙方（你公司）的后端支持团队、关键安全设备厂商的7*24小时支持电话。
保障目标与范围——全部范围？还是部分系统或业务参加？
应急响应机制——出了事怎么办？谁要负责干什么？你要做什么？多列几种情况参考不影响，但一定要记得首要的事情是马上上报。
当然了，如果是甲方自己出方案的话，那安服仔就要好好看看方案里关于以上要点的部分了，少了的就找甲方问，好过事后挨骂。
B 安全设备
老规矩，按照上一章的安全检查做完后就基本只需要监测了，该看态势感知看态势感知，该看waf看waf，重点监测高危告警。
唯一比较大的雷点是封禁IP问题，这个得细问一下甲方，是以什么机制去做，如果是那种非对外服务面很大的甲方，没什么要求的，那基本应封尽封，堵堵堵堵。如果是服务面限制在一个范围内的，比如区、本市、本省的，就得看看是否针对范围内IP进行详细研判了，以我的经验来估计，甲方大概率会要求针对区域内攻击IP出详细的研判报告，每次封禁后提交上去或者先提交、得允许后再封，都有可能。
尤其是小型hvv，总会有人没挂梯子就一梭子打过来。效率会低一点，但为了避免背锅，应该做的步骤。
除此之外，如果甲方有上网行为管理的，也别忽略了尤其是大单位，人员混杂，容易内部中招，AC起码能保证协助快速定位到失陷IP是谁的，快速处理，说不定人家还没提交呢就给断了，也是可能的，留个心眼。
C 紧急情况
最可能出现的情况首先是被打穿了。这很正常，首先心态要放平稳，上报完之后按照应急方案处理就行，赶紧找公司支持，该摇人来就摇人来，该打电话找厂商就打电话，重要的保障肯定会采购单独的重保服务的。但如果很不巧，你就是那个包含在重保采购里的幸运儿，那也别慌，大部分情况下还是能摸清楚入侵路线的（你要是真的什么都不会，只是来特种兵的你还是趁早跑路吧），先上报、阻断，摸清楚后让甲方摇运维、系统管理员来现场协助排查，就行了，写个报告，只要不是因为你的疏忽，了不起就是挨顿骂。
第二种情况那就是网络问题了。能在这种重要时期影响系统业务，除去被攻击的可能后，要么：设备出问题了——宕机了或者配置出错，要么应用出问题了——服务挂了或者系统直接挂了。我知道可能性较小，但不是不可能，我能写在这就说明我遇到过，并且十分棘手。
怎么说呢，还是按照网络拓扑去一点点梳理，正常来说基本都是优先考虑系统的问题，尤其是现在很多地方都上云了，虚拟环境比物理环境有时候是难摸清楚一点，尤其是各种组件、服务都集成在虚拟环境上，再加上第三方开发不一定那么规范，这就容易出现一些问题了。想排查设备那更简单了，大不了一个点一个点ping，最多麻烦点，再加上现在业务系统基本有冗余，基本怼着单节点去排查就可以了。
D 后勤物资
em，很尴尬的一个环节，旱的旱死，涝的涝死。主包我呢，是好的地方也呆过，水果零食奶茶那是一点没断过，连喝的水都是高档货，外边几块钱一瓶瓶装的，喝完前就会有人补上，差点没给我吃肥咯。坏的地方也有，给我这个臭外包封了个什么负责人，其他一概不管，我还得自己掏钱请厂商喝杯咖啡，made。
对自己好一点，该吃吃该喝喝，现场有的就使劲造，现场没有的叫公司买，公司不买的自己买，吃饱喝足了再干活。我就见过一起值班的师傅饭也不吃奶茶也不喝的，上个班而已，又不是自己家的事儿。
记得提前买个舒服点的床，折叠的，只要甲方不是特别不当人或者情况特别急的，都会给你睡觉的，大不了和现场的师傅换个班轮流休息一下嘛，办法总比困难多。什么？你说你一个人7*24小时？赶紧跑，你都这鬼样子了你公司能是什么正经公司？能给你发多少钱？
E 总结
请记得好好吃饭。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：一己之见安全团队 这小子嘴硬《安服仔单兵驻场指南——重保》