网络安全监测装置探针

探针和监测装置怎么分工

站端安全监测通常是两层结构。汇聚装置是站与上级平台之间的唯一衔接点，负责本地处理、留存和上报； 探针负责把汇聚装置够不到的位置覆盖起来，采集之后回送。

判断要不要用探针，看的不是站点等级，而是汇聚装置能不能直接采到所有需要监测的对象。 网络分段较多、设备分布较散、或者部分区段不便直接接入时，就需要用探针把覆盖补齐。

选型要确认的四件事

• 覆盖范围：先列出需要监测的对象清单，再看现有汇聚装置的可达范围，差集才是探针要覆盖的部分。
• 布点数量与位置：由网络分段和设备分布决定，不是按面积或按间隔数简单折算。
• 接入方式对既有业务的影响：改造项目里这一项要先确认，采集不应改变原有网络结构。
• 与汇聚装置的配套关系：探针回送的内容要能被现有汇聚装置接收和识别，这一项需在方案阶段确认。

常见的判断误区

一是把探针当成监测装置的简化版。两者不是同一层的替代关系，探针不承担对上级平台的上报职责， 不能用探针替代站端的汇聚能力。

二是先定数量再看范围。布点数量应当从监测对象清单推出来，反过来容易出现覆盖有缺口但设备已经买够的情况。

边界说明

监测覆盖范围、采集内容要求与上报方式由本地规范和上级平台的接入要求确定，各单位存在差异。 本页说明的是探针的作用与选型判断顺序，具体配置应以项目技术规范为准。

选型时要先确认这四项

1. 监测对象清单：先列出需要纳入的主机、网络设备与安防设备，没进清单的在上层看来就不存在。
2. 与上级平台的衔接方式：上报接口要求应作为方案输入前置获取，不要等建完再对接。
3. 留存期限：直接决定存储规模，且通常不可事后压缩，按本地规定确认。
4. 覆盖是否有缺口：汇聚装置够不到的位置需要用探针补齐。

常见问题