小李刚接手公司新上线的内部管理系统，某天发现后台登录日志里有十几条来自陌生IP的暴力破解尝试。他没慌，打开团队共享的那张「网络攻击防御体系架构图」，顺着箭头从外往里捋：最外层是防火墙和WAF（Web应用防火墙）拦掉了90%的扫描请求；中间的入侵检测系统（IDS）标记了异常流量并触发告警；最内层的主机加固策略让攻击者即使拿到弱口令，也进不了数据库容器——这张图，不是PPT里的摆设，是每天运维、开发、安全人员都在用的行动指南。
为什么需要架构图，而不是零散工具？
装个杀毒软件、开个防火墙、再配个云盾，看似层层设防，但真遇到勒索病毒横向移动时，可能发现边界设备没放行内网探针流量，导致EDR（终端检测响应）压根收不到失陷主机的上报。防御体系不是工具堆砌，而是环环相扣的逻辑链。架构图把人、流程、技术串成一张网：比如当DDoS攻击打进来，CDN自动切换高防节点的同时，监控大屏要同步标红受影响服务，SRE值班手机得弹出带处置命令的钉钉消息——这些协同动作，全靠架构图提前定义清楚。
常见四层防御结构，一图即可对应
我们常看到的成熟架构，基本按纵深防御思路分四层：
- 边界层：互联网入口处的防火墙、抗D设备、WAF，负责过滤高频攻击（SQL注入、XSS、扫描器特征）；
- 网络层：VPC内网分段、微隔离策略、东西向流量审计，防止“攻下一台就漫游全网”；
- 主机与应用层：服务器HIDS（主机入侵检测）、容器运行时安全、API网关鉴权，盯紧进程行为和接口调用异常；
- 数据与身份层：数据库加密、字段级脱敏、多因素登录（MFA）、权限最小化分配，守住最后一道底线。
这四层不是上下垂直排列，而是交叉覆盖——比如WAF既管边界，也校验API参数；HIDS既能查木马，也能捕获横向移动的PsExec命令。
举个真实例子：钓鱼邮件落地后的响应路径
员工点开伪装成报销单的恶意附件，本地杀软没报毒（因为用了0day漏洞），但EDR立刻捕获到异常PowerShell内存加载行为，并自动隔离该终端；同时，SIEM平台关联分析发现该IP 10分钟前访问过钓鱼链接，立即联动防火墙封禁出口；邮件网关同步更新规则，拦截同源发件域下所有后续邮件。这条响应链，在架构图上就是几个带箭头的模块+虚线标注的“事件联动”，谁负责哪一段、数据怎么传、超时多久升级，清清楚楚。
别画“理想型”，要画“能落地”的图
有些架构图里写着“AI驱动威胁狩猎”“全自动闭环响应”，可实际连日志都还没统一归集到ELK。真正有用的架构图，会手写备注：比如在“日志分析平台”框旁贴个小标签：“当前仅接入防火墙、WAF、堡垒机日志，缺失数据库审计日志（计划Q3对接）”；在“威胁情报”模块下加一行：“使用免费的MISP社区版，IOC更新延迟约2小时”。图不是终点，而是起点——它暴露缺口，倒逼补位。
下次看到“网络攻击防御体系架构图”，别只当它是安全团队的汇报材料。把它打印出来贴在工位旁，开发改接口时瞄一眼鉴权是否落在应用层防护范围内，运维扩集群时核对下新节点是否纳入微隔离策略——这张图，本来就是给干活的人看的。