部署前先收集信息
先知道产品要接到哪里。
师傅
“数据库审计要覆盖哪些数据库？”
小白
“会员库和核心配方库。”
师傅
“还要知道什么？”
小白
“网络地址、端口、账号、业务高峰和日志要求。”
师傅
“以及故障时怎样回退。”
【 第 9 步 】
组网部署中心
师傅：“安全产品已经确定，下一步要决定它们放在哪里、怎样连接现有系统。今天我们进入数据安全产品组网部署。部署前先收集应用、数据库、文件、终端、网络、账号、数据范围、业务窗口和回退条件，再选择合适的部署模式。
旁路部署通过复制流量或接入日志分析，对业务链路影响通常较小；代理部署直接位于访问路径中，控制能力更强，但对性能、可用性和回退要求更高；有些DLP能力还需要在终端安装客户端。
最后画出组网拓扑图，再做联调验证，检查业务连接、角色和字段映射、日志完整性、告警、性能以及产品故障时的业务影响。”
01 · 现场对话
组网部署中心的知识任务
选择部署模式
不同模式对业务影响不同。
小白
“旁路是什么意思？”
师傅
“复制流量或日志来分析，不直接转发业务请求。”
小白
“代理呢？”
师傅
“代理直接站在访问路径中，可以控制请求。”
小白
“就像一个负责检查通行的入口。”
师傅
“可以这样理解。”
把产品放进拓扑图
多个产品需要看整体关系。
小白
“终端DLP放在员工电脑上，动态脱敏放在应用访问数据的路径，数据库审计连接数据库。”
师傅
“日志最后送到哪里？”
小白
“集中日志与告警平台。”
师傅
“很好，再把备份区一起画进去。”
上线前模拟异常
要知道产品出故障会发生什么。
小白
“如果代理产品停机呢？”
师傅
“测试业务是否中断，以及能不能切换或回退。”
小白
“还要看CPU、内存、延迟和吞吐。”
师傅
“对，安全产品不能造成不可接受的业务影响。”
02 · 小白做现场笔记
重要概念及注释
部署前信息收集
- 正式含义
- 正式组网以前，先收集产品接入真实环境所需要的技术和业务信息。
- 重点信息
- 资产范围 网络条件 账号体系 数据范围 业务窗口 运行要求 依赖关系 回退条件教材把这些项目作为部署前必须掌握的信息。
先知道要接什么、接到哪里、什么时候能动，再开始部署。
组网拓扑
- 正式含义
- 用图形表示安全产品、业务系统、网络、数据库和日志平台之间的连接关系。
- 示例
- 用户 / 终端 │ ├─ DLP客户端 ↓ Web / API网关 ↓ 动态脱敏代理 ↓ 应用服务 ↓ 数据库 ├─ 数据库审计 ↓ 集中日志与告警平台 数据库备份 ↓ 加密备份区域教材给出的基础组网示例也是沿此结构组织。
拓扑图要让人一眼看出产品放在哪里、数据经过哪里。
旁路部署
- 正式含义
- 复制业务流量或接入日志进行分析，而不直接转发业务请求。
- 特点
- 业务影响通常较小但可能：看不到部分加密内容 看不到本地操作 控制能力有限
- 记忆类比
- 像站在道路旁边观察车辆，不直接拦在道路中间。
旁路主要负责“看”，对正常业务链路影响通常较小。
代理部署
- 正式含义
- 安全产品位于真实访问路径中，负责转发并控制业务请求。
- 特点
- 控制能力强同时更关注：性能 延迟 高可用 故障影响 回退
- 记忆类比
- 像在入口设置检查站，所有车辆都必须经过它。
代理能直接控制访问，但自身故障也可能直接影响业务。
客户端部署
- 正式含义
- 在服务器、电脑或其他终端中安装安全软件，对本机文件和操作进行监测和控制。
- 典型场景
- 终端DLP 文件复制 U盘使用 打印 本地文件操作
客户端负责看终端本机发生了什么。
联调验证
- 正式含义
- 安全产品接入现有系统以后，对业务连接、策略、日志、告警、性能和故障影响进行联合验证。
- 上线前八项
- 业务连接 产品故障影响 角色和字段映射 日志完整性 告警工单 配置备份 CPU / 内存 / 延迟 / 吞吐 配置与遗留问题
产品接进网络以后，要同时验证安全效果和业务影响。
实施文档
- 正式含义
- 用于记录产品部署、配置、测试、验收和运维状态的工程材料。
- 基本文件
- 部署方案 配置清单 测试记录 验收记录 运维手册 变更记录
拓扑告诉别人产品在哪里，文档告诉别人它是怎样配置和维护的。
03 · 经验和难点
小结
这一站，小白从资产、网络、账号和业务窗口出发，为数据库审计、动态脱敏和DLP选择了部署位置，并通过组网拓扑和联调验证检查实际效果。最值得记住的经验是：部署位置决定产品能看见什么、能控制什么，也决定它对业务的影响。初学者最容易遇到的难点，是只考虑安全功能，忽略性能、可用性和故障回退。