智能全域网络安全防护平台
一平台统揽全局，三大产品线协同联动：以威胁情报、误报排除算法与 AI 智能研判为核心驱动，让安全防护从被动响应转向主动防御，实现自动化、常态化的安全保障。
外到内 · 攻击防护
自动化攻击防护平台
让自动化防护，接管常态化值守
点击翻转 · 查看定位与场景
内到外 · 通联治理
恶意通联防护平台
威胁流量不出网，失陷主机可溯源
点击翻转 · 查看定位与场景
技术定位 · 使用场景
全链路恶意通联防护体系
域名解析、网关联动、终端溯源三重纵深，在与恶意资源建立通讯之前阻断恶意外联，定位失陷主机源头。
网络安全联盟 · 协同防护
联防联控平台
一点触发，全员防御
点击翻转 · 查看定位与场景
公司宣传短片
从静态防御的困境，到机器自动化的破局；从单点防护，到联防联控——
一支短片，完整呈现智能全域网络安全防护平台的能力蓝图。
公司荣誉HONORS
2025 年度网络安全十大创新成果
中国网络安全产业创新发展联盟
谷兰软件智能全域网络安全防护平台入选 2025 年度网络安全十大创新成果，产品专业性与工程化能力获中国网络安全产业创新发展联盟认可。
产品 01 · 外到内攻击防护
自动化攻击防护平台
以技术手段有效串联「监测预警」与「应急处置」流程，将 80% 以上的网络攻击事件自动化处理掉，实现自动化网络安全值守。
产品定义PRODUCT DEFINITION
产品定义
What it is
谷兰自动化攻击防护平台聚焦威胁监测与自动化响应领域，打通「监测预警 → 分析研判 → 攻击 IP 拦截」全运营流程。平台融合威胁情报、误报排除算法、AI 大模型研判、自动化响应与联防联控等技术，通过多维度关联分析和交叉验证精准定性威胁事件，实现告警自动研判与处置，无需人工逐条确认，助力用户构建 365×24 小时常态化安全防护，完成从「人防」到「技防」的跨越。
核心能力CORE CAPABILITIES
四项核心能力
精准分析
通过威胁情报比对、Z-Score 离群分析算法等多轮误报排除机制，结合 AI 大模型语义研判能力，实现多维度交叉分析验证，有效排除误报，达到精准防护。
联防联控
以自主核心技术组建多组织间的网络安全联盟，打造联盟成员间「威胁信息共享、安全能力互助」的联防联控技术体系。
护网策略
在网络安全事件与应急处置动作之间建立起一座关联触发式桥梁。使用 IF-THEN 逻辑实现「在发生威胁时自动触发解决方案」的方法。
异构联动
兼容主流品牌厂商的网络及网络安全产品，有效衔接并组合多厂商的技术能力，建立开放包容的异构联动体系。
现实挑战THE CHALLENGE
告警洪流之下
人工研判难以为继
在重保、护网阶段，安全值守团队通常采用人员盯防的方式对各类网络安全事件进行分析和处置。这种以人工方式落实安全检测与事件响应机制的措施，受人工效率瓶颈和技术能力的制约，难以完成高质量的防护任务。
「误报被排除，处置才敢自动化；
研判足够准，自动化才有价值。」
-
01
人工效率瓶颈，威胁事件处置率较低
攻击者往往采用自动化攻击脚本，而防守者则采用人工方式进行分析和处置。「手工化」对抗「自动化」，在效率上存在巨大差距，两者是不对等的竞争。
-
02
人员能力差异，无法落实精准防护
人工服务存在知识能力、经验积累等方面的个体差异，常有误操作、误处置等问题，无法有效落实精准防护的技术要求。
-
03
人工服务，无法落实常态化安全
网络安全应建立起长效机制，侧重于常态化、实战化的对抗能力。在日常工作中，防守方很难保持护网期间的高度专注力。
-
04
各单位独立作战，容易被各个击破
各单位在面对网络攻击时各自为政、独立作战，相互之间缺少协作，容易被各个击破。
核心机制CORE MECHANISM
五重交叉验证 · 误报排除前移至机器环节
单一来源存在不确定性，五重验证相互印证——多维度交叉验证使任何单一来源都不能单独定性，方可进入自动处置环节。精准研判，是敢于自动化处置的根本前提。
- ① 日志留存——全过程可回溯全量流量与行为日志留存，攻击全过程可回溯、可取证。
- ② 误报排除算法——统计离群与聚类甄别Z-Score 离群值分析与深度聚类，多轮排除机制过滤误报。
- ③ 威胁情报碰撞比对——已知威胁即时定性与威胁情报库碰撞，已知威胁即时定性。
- ④ 检测规则沉淀——判定依据持续积累检测规则可沉淀、可复用，判定依据持续积累。
- ⑤ AI 大模型研判——语义级最终定性对残余疑似事件综合研判，输出定性结论。
研判机制MULTI-DIMENSIONAL ANALYSIS
多维研判机制 · 筑牢精准防护
精准防护的核心，不在于发现告警，而在于判定告警。平台以【威胁情报、离群值算法、AI 大模型】为核心能力，构建「规则检出 + 算法检测 + AI 智能分析」三重模式并行体系：威胁情报引擎负责高速检出特征明确的威胁，离群值算法排除业务相关的合理误报，AI 大模型负责深度研判复杂告警，三者并列协同、能力互补。
威胁情报
融合公有化与私有化威胁情报，对攻击来源、攻击特征进行实时比对，为分析研判提供情报级参照。
离群值算法
以 Z-Score 算法识别群体行为基线之外的统计离群点，以深度聚类分析刻画告警特征分布，辅以白名单、上下文关联、行为基线、时间序列、频率分析等多重规则，层层滤除误报。
AI 大模型
将资深分析师经验与大模型语义研判能力相结合，围绕威胁等级、威胁爆发频率、攻击者地理位置、威胁靶向偏离度、共性威胁关联等指标构建个性化分析体系，在脱离威胁情报的环境下（如攻击者利用动态 IP 发起攻击）依然能够完成威胁研判与误报排除。
研判引擎AI ANALYSIS ENGINE
大模型研判引擎技术路线
平台 AI 研判引擎按「数据预处理 — 模型微调 — 推理应用」三阶段完成工程化落地，以大语言模型为基座，经安全领域指令微调后形成面向告警研判的专业能力。
STAGE 01
数据预处理 汇聚 WAF、防火墙、IPS 等多设备原始日志，完成日志清洗与统一字段解析，屏蔽设备格式差异；提取源 IP、目的 IP、威胁名称、URL/URI、请求方法等关键要素；对 Base64、Hex 编码载荷提前解码，构造标准化结构化样本。STAGE 02
模型微调 采用「指令—输入—输出」的 Alpaca 数据格式开展指令监督微调，通过训练集更新模型参数，依托验证集进行早停与检查点选择，测试集仅用于最终性能评估。STAGE 03
推理应用 新告警日志经预处理后以标准化结构化字段输入模型，输出「真实威胁／误报／不确定」三态判定结论、具体攻击类型、研判证据链与标准化处置建议；推理侧采用约束解码技术确保输出符合预定义 JSON Schema。研判能力CAPABILITIES
智能研判能力呈现
依托大模型研判引擎，平台在真实生产环境中呈现以下能力形态。
全量告警一键聚合研判
整合研判同一攻击源的多条安全日志，输出整体性研判结论，将值守人员从逐条翻查告警的低效劳动中解放出来。
研判结论自动成文
以规范自然语言输出判定依据与攻击意图分析，结论可直接用于事件上报与处置执行，无需二次加工。
ATT&CK 攻击链全景映射
自动标注攻击涉及的战术阶段与技术编号，并以杀伤链阶段定位攻击进程，攻防态势一目了然。
威胁置信度量化评估
对确认的真实威胁标注置信度评分与杀伤链阶段，辅助值守人员按风险等级有序处置。
误报智能降级
对具备攻击特征但缺乏成功执行证据的攻击尝试，综合响应状态码与历史行为给出「攻击尝试」定性，避免资源浪费在无效告警上。
研判全过程可回溯
研判结论关联原始安全日志，判定依据可核查、证据链可还原，满足监管审计与事后溯源要求。
自动处置AUTOMATED RESPONSE
捕获 · 研判 · 处置，全程自动完成
外到内方向攻击事件自动分析研判、自动化处置，全程自动完成，不经人工周转。
STEP 01
攻击事件捕获 全量流量与行为日志实时采集，攻击事件一经发生即被捕获。STEP 02
自动分析研判 五重验证交叉印证，真实威胁定性、误报精准剔除。STEP 03
自动化处置 五重研判确认的攻击 IP 自动下发拦截，处置动作同步执行、无需人工确认。运维效能OPERATIONAL EFFICIENCY
运维效能
告警降噪，释放人力
智能甄别低风险、无影响的告警并标记「无需人工处置」，使运维人员聚焦真正需要关注的高风险威胁。
智能归因，降低门槛
自动解析告警成因并关联风险隐患，输出研判证据与标准化处置建议，降低对资深分析师个人经验的依赖。
统一研判，提升泛化
一套模型适配多厂商、多类型安全设备告警，屏蔽日志格式差异，提升跨场景、跨设备的统一分析能力。
经验沉淀，知识复用
将安全专家的研判经验固化至大模型，实现知识沉淀与复用，降低人员流动带来的经验流失风险。
产品优势PRODUCT ADVANTAGE
从「人防」到「技防」的能力跃升
以机器自动化解决人工效率瓶颈，以智能研判保证研判质量，以联防联控重塑防护格局。
| 对比项 | 传统人工网络安全值守 | 谷兰自动化攻击防护平台 | 价值说明 |
|---|---|---|---|
| 防护方式 | 人工服务 | 机器自动化、智能化防护 | 机器自动化解决人工效率瓶颈 |
| 防护能力 | 人工经验防护 | 智能精准防护 | 准确率得到有效保证 |
| 防护时间 | 阶段性防护：人工驻场的时间通常仅在两会、护网等敏感时间段，不能实现常态化防护 | 365×24 小时全天候防护 | 防护值守时间提升 10 倍以上 |
| 防护效果 | 攻击 IP 拦截率不足 5% | 攻击 IP 拦截率 80% 以上 | 攻击拦截率提升 10 倍以上 |
| 联防联控 | 无（单兵作战） | 有（协同作战） | 区域／行业内的活跃攻击 IP 自动下发，各联盟单位主动防御 |
| 告警研判 | 人工逐条分析，受经验与精力制约 | AI 大模型语义级研判，输出结构化结论与证据链 | 研判结论标准化、可解释，准确率得到有效保证 |
* 数据引自产品资料与项目运行统计，具体防护效果因网络环境与配置而异，非承诺值。
应用场景SCENARIOS
应用场景
重要活动保障
对两会、护网等重要活动进行专项安全保障，对攻击 IP 自动化封禁。
常态化值守
以自动化技术对抗日常网络攻击，实现 365×24 小时的网络安全值守。
协同作战
参与私有化威胁情报运营，共享攻击者信息，获取同盟单位检测到的热点攻击数据，实现主动防御。
产品 02 · 内到外通联治理
恶意通联防护平台
建立从域名解析、网关联动到终端溯源的全链路恶意通联防护体系，真正实现对恶意通联行为「一战即清、长效无忧」的防护效果。
产品定义PRODUCT DEFINITION
产品定义
What it is
恶意通联行为是指被入侵或受控的设备（如主机、服务器、物联网终端）在未经许可的情况下，与攻击者控制的 C2 服务器、恶意域名或可疑 IP 进行通信，用以接收攻击指令、回传业务数据、传播恶意程序、协同发起 DDoS／挖矿／钓鱼等网络攻击。谷兰恶意通联防护平台构建了覆盖域名解析、网关联动、终端溯源的全链路恶意通联防护体系：在加密会话建立前识别并拦截恶意域名访问，在网关侧及时隔离失陷主机、防止风险扩散，再通过终端插件追溯恶意进程、清除潜藏隐患，确保威胁流量不出网、失陷主机可溯源，实现恶意通联的「一战即清、长效无忧」。
恶意通联的危害
恶意通联是 APT 攻击、勒索病毒、间谍木马等高级网络威胁的核心特征。一旦建立通信链路，攻击者便可实现长期潜伏、窃取数据、加密系统以实施勒索。因此需要对该类通联行为开展全时段监测与实时拦截。
监管单位检查的重点
监管单位持续开展网络安全常态化督查，恶意通联行为由于极易诱发数据泄露、算力劫持、涉诈网络中继等风险，现已纳入监管执法重点范畴。
难于防御的技术困境
政企单位面对恶意通联风险时普遍陷入「检测难、防护难、溯源难」的技术困境，亟需专业化的恶意通联防护方案补齐防御短板。
现实挑战THE CHALLENGE
真正的威胁
藏在正常的出口流量里
复盘近期多起重大安全事件可以发现，恶意通联是攻击链中「命令下达」与「赃物回传」的关键环节。一旦加密会话建立，基于内容检测的传统手段即丧失可见性。
「看不见的外联，
就是已经在发生的失陷。」
-
01
流量隧道化，传统安全防御体系失效
多数勒索病毒、APT 组织依托 DGA 随机域名、HTTPS 流量隧道搭建 C2 通信通道。传统防火墙、WAF、IPS 面对流量隧道伪装、DGA 动态域名、内网低频隐蔽通信、供应链未知威胁等新型攻击手段时防护失效。
-
02
传统终端安全产品难以有效溯源取证
传统杀毒软件无法识别 PowerShell、WMI 等无文件内存攻击，也难以拦截和定位此类攻击产生的恶意通联行为。
-
03
发现异常之后，仍需闭环处置
即便捕获异常外联，仍需快速锁定内网失陷主机、留存证据并联动处置，方能由「发现」走向「闭环」，否则风险始终滞留于内网。
核心机制CORE MECHANISM
三重防护架构 · 纵深闭环
DNS 检测、网关联动、终端溯源三重纵深依次递进，形成「入口观测 → 影响收敛 → 根因清除」的完整闭环：既有对已知威胁的即时阻断，也有对未知威胁的识别与定性。
- 第一重 · DNS 检测，源头阻断破解加密流量检测难题，实现威胁流量不出网：以 DNS 解析作为第一道防御关口，通过海量威胁情报库和 DGA 智能算法，在加密会话建立前拦截恶意域名访问。
- 第二重 · 网关联动，风险管控遏制横向扩散，防止威胁蔓延：触发恶意 DNS 解析的失陷主机为高风险资产，需要对此源 IP 进行网关控制，阻止该终端的其他已知或未知外联行为，遏制威胁扩散。
- 第三重 · 终端溯源，威胁挖掘挖掘潜藏隐患，实现长效免疫：威胁情报终端插件追溯具体恶意进程，定位攻击源头；对失陷主机的全部通信行为进行 IP／域名扩展检测，深度挖掘潜藏的其他恶意程序及安全隐患。
防护链路RESPONSE CHAIN
识别 · 拦截 · 处置，全链路防护
对远控木马回连、DGA 域名等恶意通联行为，实现识别、拦截、处置全链路防护。
第一重
情报拦截 基于威胁情报对恶意域名、远控地址直接阻断——恶意通联一经发起即被拦截。第二重
智能识别 对 DGA 生成域名、远控木马回连行为识别告警——未知威胁不漏过、可定性。第三重
定位处置 锁定失陷主机内网源地址，留存证据、联动处置——从发现到处置形成闭环。运行成果
检测并阻断恶意通联域名，定位失陷主机源地址、触发次数一屏可查。三重防护技术使恶意通联治理形成纵深——从通联发起、行为识别到定位处置，全程可查、可控、可闭环。
业务价值BUSINESS VALUE
四大业务价值
恶意通联防护平台不止于实现对威胁的「阻断」，更在于完成「溯源与清除」，以全链路闭环能力将安全事件从被动响应转变为主动闭环治理。
风险前置管控
DNS 作为网络通信的入口，可在加密会话建立之前发现潜在威胁，从源头阻断恶意外联行为，有效防护勒索攻击、数据窃取等安全风险。
降低运维压力
自动化拦截处置，大幅缩减安全人员人工排查工作量，让安全团队聚焦高价值分析工作。
全网威胁可视
全面呈现内网所有恶意通联行为，企业安全风险一目了然，为安全决策提供直观依据。
补齐防护短板
补齐传统安全产品在恶意外联防护方向的短板，提升整体安全防护体系的完整性。
情报支撑THREAT INTELLIGENCE
威胁情报支撑
千万级专业威胁情报库
覆盖恶意 IP、域名、URL 与哈希值等 IOC 指标，情报实时更新，为识别与阻断提供数据底座。
监管类情报管理
支持监管类情报云端统一管理，一键下发、秒级同步，满足常态化督查响应要求。
终端情报插件专业溯源
面向终端的情报插件追溯恶意进程与攻击源头，实现从边界告警到终端定位的完整链路。
部署与兼容DEPLOYMENT
部署模式与兼容性
平台采用旁路部署方式，启用 DNS 代理服务，接管企业内网域名解析流量，部署无业务割接、不影响原有网络拓扑。
硬件平台广泛兼容
广泛兼容 x86、ARM 和 MIPS 等多种硬件平台，支持海光（Hygon）处理器与华为鲲鹏（Kunpeng）等国产化技术平台。
国产化环境适配
支持国产化操作系统及数据库，满足信创环境部署要求。
联动设备策略下发
兼容主流防火墙、路由器、出口网关，支持 CLI、API 策略联动下发，处置动作直达边界。
终端插件覆盖
终端情报插件支持主流的 Windows 及 Linux 操作系统，覆盖服务器与办公终端场景。
产品 03 · 跨单位协同联防
联防联控平台
以自主核心技术组建多组织间的网络安全联盟，打造「一点触发、全员防御」的联防联控技术体系——网络安全防御机制由「单兵作战」向多组织间的「协同作战」方式转变。
产品定义PRODUCT DEFINITION
产品定义
What it is
联防联控平台能够以技术手段将多个单位组建为网络安全联盟，在多组织单位之间实现「威胁信息共享、安全能力互助」，帮助联盟成员单位以网络安全合力的方式共同抵御黑客入侵；通过该平台，主管单位可以联合所有成员单位，共同开展网络安全防护、事件处置、重大活动安保、数据共享等工作，有效提升全域／全行业的整体安全防护能力。
现实挑战THE CHALLENGE
单点再强
也难成整体纵深
各单位在面对网络攻击时各自为政、独立作战，相互之间缺少协作，容易被各个击破。缺少协同机制，区域与行业级的安全能力便始终停留在「各管一段」。
「联防联控的本质，
仍是精准防护。」
-
01
情报不互通
威胁线索散落于各单位，同类攻击在不同单位重复发生，防御经验无法沉淀共享。
-
02
处置不同步
一个单位发现并处置的威胁，其他单位无法同步获知与封禁，攻击者可借机横向转移。
-
03
协作壁垒难以打破
跨地域、跨组织、跨平台、跨设备的横向与纵向整合缺少技术载体，协同停留在制度层面。
核心机制CORE MECHANISM
网络安全联盟 · 三项协同机制
组建网络安全联盟，成员单位统一机制、统一行动，以三项机制衔接运转。
- 信息流转——威胁线索全域共享成员单位威胁信息统一汇聚、双向流转，威胁线索全域共享，不再各自为战。
- 协同核验——多点验证，群体决策任何信息下发前均经多节点交叉验证，阻断误报复制。
- 协调作战——自主防御不变更网络安全主体责任，采取情报流转方式共享威胁信息，处置策略由本地设备自主控制。
- 常态化协同运营组织联盟单位联合开展网络安全防护、事件处置、重大活动安保、数据共享等工作，落实「三化六防」技术要求。
机制对比GROUP DECISION
群体决策，让精准防护更进一步
联防联控最大的风险是误报——错误答案一旦被复制下发，将在成员单位间层层放大，酿成群体性事故；若不加筛选地全量下发，各单位防火墙黑名单将被迅速占满。
| 对比项 | 常规态势感知平台 | 谷兰联防联控平台 |
|---|---|---|
| 决策机制 | 单点决策 | 群体决策 |
| 判定方式 | 单节点告警即全网定性——单点误判，全局误判 | 多节点交叉验证后方可下发——误报在机制内即被拦截 |
| 误报风险 | 误报随共享链路复制放大 | 疑似信息先核实、再通报，阻断误报复制 |
| 结论 | 协同规模越大，风险敞口越大 | 联防联控相比单点项目，更加准确 |
机制结论
联防联控的本质仍是精准防护——谷兰在自动化攻击防护平台五重交叉验证的精准防护能力之上，
通过群体决策机制强化全域协同，以群体决策把单点精准扩展为全域精准。
产品价值PRODUCT VALUE
从单点精准，到全域精准
以机制设计保证情报质量，以协同体系放大单点能力。
一点触发，全员防御
任一成员单位发现并核验的威胁，可同步至联盟全网封禁，攻击者无法在单位之间横向转移。
协同核验，情报可靠
以多节点交叉核验为前置条件，让共享情报建立在多源印证之上，协同处置稳健可靠。
群体研判，精准递增
群体研判汇聚多节点判定结果，参与单位越多，研判越充分，结论越精准。
跨域异构整合
打破成员单位之间的协作壁垒，实现跨地域、跨组织、跨平台、跨设备的横向与纵向整合。
方案效果PROVEN RESULTS
方案效果：联防联控能力
谷兰自动化攻击防护平台部署于某省 9 朵政务云，在保障各朵云实现自动化攻击防护能力基础之上，实现了 9 朵云之间的联防联控。
安全赋能
由最终用户掌握威胁情报的采纳、生产及使用标准。
防护机制
实现威胁信息共享、安全能力互助，打造一点触发、全员防御的联防联控技术体系。
运行效果
在真实生产网环境下长期稳定运行、未发生安全事件，技术成熟度得到有效验证。（数据引自项目运行统计，具体效果因网络环境与配置而异）
部署与合规DEPLOYMENT & COMPLIANCE
两级组网，渐进扩展，快速形成协同战力
客户端可与中心端两级部署，能够按区域、行业灵活组网（多中心部署）；成员单位侧旁路接入，不改变原有网络结构与安全设备配置。
中心端 · 联盟运营枢纽
承担情报汇聚、协同核验、统一调度与全域态势呈现职能，部署于主管部门或联盟牵头单位。
客户端 · 成员单位节点
与自动化攻击防护平台协同，执行情报接收、本地核验与处置指令下发。
渐进组网 · 规模可扩展
支持先由核心单位组网试运行，再逐步吸纳成员扩展联盟规模，协同能力随规模持续增强。
政策合规依据
协同联防是网络安全政策体系的明确导向：公安部「三化六防」要求中，「整体防控、联防联控」为核心防御策略；《中华人民共和国网络安全法》明确国家推动网络安全信息共享；《关键信息基础设施安全保护条例》要求建立健全网络安全信息共享机制。平台以技术手段支撑上述要求在区域与行业层面的落地。
联系我们
以技术拓边界，向无垠启新程
我们能提供的支持
- 产品能力介绍与方案讲解
- 现有网络环境的适配评估
- 部署方式与信创环境适配说明
- 已有项目的运行情况交流
关于谷兰软件
谷兰软件信息技术（沈阳）有限公司，专注智能全域网络安全防护产品的研发与应用。产品线覆盖自动化攻击防护平台、恶意通联防护平台与联防联控平台，服务于教育、政务等行业客户，助力政企单位完成从「人防」到「技防」的能力跃升。