从「发散」到「收敛」：网络安全行业如何走出「投入递增、风险不减」的困境

——基于《关键信息基础设施安全保护条例》的范式重构

开篇：两组数据，冰火两重天

一边是行业的凛冬。自2023年第三季度起，18家网络安全上市公司营收同比增速已连续11个季度为负。2025年第四季度总营收107.7亿元，同比下滑6.3%；2026年第一季度营收进一步探底至43.4亿元[1]。

另一边是威胁的狂飙。Solar应急响应团队2025年累计处置勒索案件534起，较2024年激增544.89%，其中高危级事件占比高达99.61%。全年新增勒索软件团伙超40个，多重勒索活跃家族达122个，较上年增长近三成[2]。

预算在收缩，架构在臃肿，风险在失控。这组极具撕裂感的数据，揭示了一个残酷真相：沿用二十年的「合规驱动、设备堆叠」安全旧范式，已全面进入系统性失效周期。「投入递增、风险不减」的行业困局，无法依靠增量设备化解，唯有完成从「发散堆叠」到「精准收敛」的底层范式革命，方能跳出行业结构性困境。

[1]: 数据来源：安全内参《国内网络安全行业，已经连续11个季度没增长了》，2026年4月
[2]: 数据来源：Solar安全应急响应中心《2025年度勒索软件态势分析报告》

第一章：什么是网络安全的「收敛」

在工程学中，「收敛」指系统在持续投入与优化后，偏差逐步收窄、运行状态趋于稳定的过程。映射到网络安全领域，「收敛」是一套可落地、可量化、可观测的全新安全运行状态，包含五项核心特征：

第一，安全投入与防护效果正向相关。每一次资源投入均可带来可量化的风险下降，彻底摆脱「投入越多、安全越焦虑」的恶性循环，让安全预算具备清晰的投入产出比。

第二，风险总量可控且持续下行。漏洞治理形成闭环，攻击者突破防御体系的成本、门槛与风险持续抬升，全网整体风险水位稳步降低。

第三，全网风险态势全面透明。安全团队告别「盲人摸象」式运维，依托客观、完整的全网数据研判风险，精准区分优先级，实现精细化治理。

第四，产业价值与实战能力同步增长。行业核心价值回归「真实风险降低」，摒弃以硬件设备销量、合规清单达标为核心的虚增价值逻辑。

第五，监管协同能力与治理效能同步提升。企业侧感知响应能力是基础，监管侧跨域协同、线索流转、跨境溯源是保障。唯有打通政企协同链路，才能让单点防护升级为全局治理，让收敛从局部突破走向全域可控。

　　这一理念与《关键信息基础设施安全保护条例》第四条「综合协调、分工负责、依法保护」的治理原则高度契合，监管协同不仅是行业共识，更是法定的制度安排，是安全态势全局收敛的核心枢纽。

两个层面，同一目标：内部收敛+外部收敛

网络安全态势的「收敛」，分为企业内部收敛与监管外部收敛两个互补维度，二者相辅相成、缺一不可。

企业侧内部收敛，核心是「看得全、看得懂、制得住」。依托全网流量可视底盘，实现内网所有行为的可观测、可研判、可闭环处置，解决「内部发生什么、异常在哪里、如何快速止损」的基础问题，是全局收敛的前提。

监管侧外部收敛，核心是「拦得住、切得断、追得回」。通过跨域情报汇聚、骨干网阻断、跨境协同溯源，压缩攻击者的跳板资源与生存空间，解决「攻击能否扩散、风险能否跨域传导、团伙能否持续作案」的全局问题，是整体收敛的保障。

企业是风险治理的「神经末梢」，监管是攻防制衡的「中枢神经」。只有政企双向协同、内外闭环，安全态势才能从单点可控走向全局收敛。

网络安全的「收敛」，本质上是安全体系从被动挨打的不可控状态，转向可观测、可研判、可处置、可信任的可控状态。涵盖风险管理、预算效用、架构复杂度、防御有效性的全方位收敛，彻底终结旧范式的自我消耗。

审视行业二十年发展，投入持续加码、风险持续攀升、攻击体系持续工业化壮大，根源并非技术缺失，而是底层范式失当：以「筑墙堵漏、点状补防」的静态思维，对抗「规模化、产业化、自动化」的现代网络攻击。

第二章：四个深层悖论，拆解「为何无法收敛」

行业长期陷入「投入发散、风险失控」的漩涡，核心源于四大相互强化的结构性悖论，覆盖制度规则、建设目标、治理格局、技术架构四大维度，共同锁死安全收敛的可能性。

悖论一：投入遵循「合规条目」，而非「风险等级」

当前多数企业的安全预算分配以合规条目为唯一导向，合规要求什么就采购什么设备。身份密保、堡垒机、IAM等合规刚需设备持续挤占预算，而攻击面治理、漏洞闭环、威胁研判、安全运营等直接降低真实风险的核心工作，长期资源不足。

叠加《网络安全法》《数据安全法》《关键信息基础设施安全保护条例》及等保标准的多重合规要求，数百条合规条目分散有限预算，形成「面面俱到、面面薄弱」的资源浪费格局。

当预算分配锚定合规清单而非真实风险，资源无法向高危风险精准倾斜，单位投入的防护效益持续递减，安全收敛彻底失去资源配置基础。

悖论二：合规本是底线，落地异化为能力天花板

等保2.0的初衷是搭建体系化安全基线，为各行各业设立安全建设的最低及格线。但行业落地中，大量企业将「合规达标」等同于「安全到位」，止步于合规底线，不再深耕实战能力建设。

更核心的问题是，等保测评普遍简化为「设备清单核对」，防火墙、WAF、堡垒机等设备配齐即判定合规达标，但企业内网真实风险态势、攻击感知能力、闭环处置能力依然缺失。

当合规从安全底线异化为能力天花板，安全投入被锁定在表面达标层面，无法向真实风险治理倾斜，合规与实战彻底脱节。

悖论三：治理格局失衡：重约束运营主体，轻溯源打击攻击者

这是行业最深层的制度性困境，贯穿全网安全治理体系，直接导致风险单向累积、无法释放，具体体现为三重结构性失衡。

第一层：事件上报的「有罪推定」困境。现行机制下，企业上报安全事件极易触发合规问责、行政处罚。多数企业为规避追责，选择隐瞒安全事件、掩盖入侵痕迹，行业失去情报共享、集体防御的基础，单点风险演变为全域隐患。

第二层：执法资源的结构性错配。监管与执法资源大量用于核查、约束、处罚受害企业，而针对跨境勒索、APT团伙等核心攻击者的溯源打击、跨境协作资源严重不足。最终形成「攻击者违法成本趋近于零，受害者合规成本、沉默成本持续累积」的畸形格局。

第三层：攻防演练的竞技化失真。常态化攻防演练本应暴露短板、验证实战能力，但当前部分演练沦为形式化博弈。防守方为规避失分，演练期间超额投入资源、临时调整架构，演练结束后一切复原；攻击方为完成指标，追求捷径式突破，而非系统性验证漏洞。最终演练仅产出「应试技巧」，无法沉淀真实防御能力。

三重失衡叠加，让行业「不敢报、不能防、打不到」，彻底阻断安全态势的全局收敛路径。

悖论四：架构冗余堆叠，内生风险持续膨胀

制度、合规、治理层面的悖论之外，设备堆叠的技术范式，正在持续制造全新的内生风险。传统「一场景一设备」的建设模式，让安全架构日趋臃肿、复杂度指数级攀升。

每一台新增安全设备，都是全网新增的高价值攻击节点，设备固件漏洞、配置缺陷、默认口令、供应链风险长期被忽视。同时，多厂商、多异构系统形成海量日志孤岛、策略冲突、版本碎片化，运维压力剧增，失误概率大幅提升。

架构冗余还直接威胁业务稳定性，串联设备越多，业务中断、流量瓶颈、策略冲突的风险越高。防御方需要保障全网所有设备、所有策略绝对无误，攻击者只需找到一处疏漏即可突破纵深。

设备堆叠的旧范式，形成「投入越多、架构越乱、攻击面越大、风险越高」的自我消耗死循环，是技术层面无法收敛的核心根源。

　　四大悖论统一根源：旧范式始终以「漏洞清零」为不可能的终极目标，以「设备堆叠」为边际效益递减的建设手段，以「合规达标」为脱离实战的建设终点。制度错配、治理失衡、实战失真、架构冗余四重问题叠加，彻底锁死行业收敛空间。

一个核心判断：重构安全建设底层逻辑

漏洞是数字系统的固有常态，永远无法全域清零。行业破局的唯一核心认知转向是：接纳漏洞的客观存在，终结攻击的隐秘潜行。

安全建设不再执着于穷尽所有漏洞、实现绝对零风险，而是聚焦全网行为可视、全程留痕、可溯源、可取证，让攻击者的探测、突破、横向移动、数据外传全流程暴露、全程可追溯。当攻击行为不再隐秘，攻击者的入侵成本、失败风险、暴露概率将急剧攀升。

这一逻辑与现代社会治安治理高度同源。社会治安的质变，不在于无限增加警力、杜绝所有犯罪苗头，而在于「天网工程」实现全域可视、行为可追溯，从根源抬高犯罪成本。网络安全的收敛跃迁亦是同理：真正的防御质变，不在于堆设备、补漏洞，而在于织就一张全网可视、全程留痕、全程制衡的安全感知网络。

行业二十年「追漏洞、补短板」的被动防御模式彻底失效，安全建设的终极目标，是让一切攻击行为可追溯、可制衡、可威慑。

第三章：六条路径，推动行业从「发散」走向「收敛」

安全收敛不是单点技术升级，而是建设、投入、运营、合规、博弈、产业六大维度的全方位范式重构，精准对应四大行业悖论，形成一套完整的系统性解决方案。

路径一：建设逻辑收敛——以「全域可视」取代「设备堆叠」作为安全建设起点

传统安全建设遵循「先采购设备、后发现问题」的倒置逻辑，设备堆砌完成后，内网依然全局失明、风险一无所知。全新建设逻辑必须反转：先建可视底盘，再补防护能力。

►核心主张：将全网流量元数据全域可视，确立为安全建设的第一优先级。边界防护、身份安全、终端加固均为上层补强能力，无全域可视底座，所有防护设备的有效性都无法验证、无法落地。该逻辑完全契合等保2.0「一个中心、三重防护」体系化理念，以及《关键信息基础设施安全保护条例》「三同步」原则。安全建设必须同步规划全网感知能力，从单点合规防护升级为全网动态风险可控。

►架构层面：彻底告别「一场景一设备」的烟囱式建设，转向「统一流量底座+分层安全能力」的极简架构。以流量元数据为统一数据底盘，承载威胁检测、溯源取证、合规审计、风险研判等核心能力，大幅缩减异构设备数量，从源头解决架构冗余、策略冲突、日志孤岛、内生风险膨胀的核心问题。

部署模式适配全规模企业：中小型机构可采用云SaaS订阅、轻量化部署模式，低成本搭建核心可视能力；政务、能源等高敏感场景，依托「数据不动代码动」的特性，仅解析元数据、不触碰原始业务报文，兼顾安全、合规与数据隐私。

►流程层面：以全域可视打通业务与安全的对立关系，确立「先看清、再上线、再防护」的协同准则，让安全服务于业务稳定，而非阻碍业务发展，实现二者共生协同。

►收敛价值：统一建设起点、精简安全架构、压缩内生攻击面、终结设备堆叠循环，为全维度安全收敛奠定技术基准。

路径二：投入逻辑收敛——以「攻击者行为威胁等级」取代「合规条目」作为预算标尺

传统预算分配以合规清单为导向，资源平均摊薄、重点风险缺位。新时代投入逻辑必须转向风险驱动、攻击者视角，以真实威胁活跃度、在野利用情况、攻击可落地性为核心标尺，分配安全预算与人力资源。

2025版等保已从百分制打分转向风险动态评估，监管体系本身已完成从「清单合规」到「风险实战」的迭代。《关键信息基础设施安全保护条例》也明确要求运营者基于真实风险配置财力、人力投入，为风险导向的预算机制提供法定依据。

核心主张：

● 以「是否公网暴露、是否存在在野利用、是否被勒索/APT团伙活跃使用」为漏洞修复优先级核心标准，高危可自动化利用漏洞优先闭环；

● 整改成本极高、利用门槛极高的遗留漏洞，以持续流量监测、行为研判作为等效补偿手段，不盲目消耗资源清零；

● 身份管控设备不全域堆砌，聚焦核心高价值资产做高强度防护，普通场景采用轻量化等效管控；

● 建立低效设备清退机制，定期淘汰无告警、低复用、高运维、高重叠的冗余设备，释放预算投向威胁感知、溯源研判等核心实战能力。

收敛价值：预算从被动合规摊薄转向主动风险聚焦，单位投入防护效益持续提升，实现安全投入与风险下降的正向匹配。

路径三：运营逻辑收敛——以「行为驱动」取代「漏洞清零」作为核心运营KPI

漏洞无穷无尽、人力极其有限，以「漏洞清零」为运营目标，必然陷入无限内卷、无效内耗。安全运营的核心逻辑必须彻底转向：放弃穷尽漏洞，聚焦盯防攻击行为。

►核心主张：安全团队工作重心从「批量扫漏洞、被动推整改」，转向「全网行为持续观测、异常轨迹实时识别、攻击链条全程追踪」。依托统一流量元数据底座，打通资产、流量、威胁数据关联，收敛海量冗余告警，释放人力聚焦真实攻防对抗。

►缩路径：在「盯行为」的基础上，还需同步推进「缩路径」——即主动压缩攻击者可利用的外部跳板资源。

缩路径的数据源泉不应局限于企业侧。运营商作为国家关键信息基础设施的运营主体、骨干网络的掌控者，天然具备全网流量视野，能够在攻击链更上游敏锐捕捉C2回连、恶意域名解析、异常流量等威胁迹象——这是单一企业难以企及的战略纵深。

《关键信息基础设施安全保护条例》第二十四条要求保护工作部门“依托运营商等行业力量建立监测预警制度”。将运营商的主动监测纳入监测预警体系，与企业的上报形成互补，正是这一要求的落地体现。这一治理结构既能实现“上游发现、中游联动、下游处置”的纵深协同，也为监管层的跨境协作与情报汇聚提供了制度化的数据通道。

►DGA阻断与肉鸡清除：其中，掐断C2节点的传播路径尤为关键——攻击者依赖域名生成算法（DGA）、动态DNS等技术维持肉鸡与C2节点的连接，若仅封禁单个IP或域名，攻击者可迅速切换至新的备用节点。通过对恶意域名的全网封堵、强制阻断DGA域名解析请求，可使尚未建立连接的肉鸡无法上线，已上线节点因指令传输中断而失联——从根源上实现对新肉鸡接入与旧肉鸡失活的双重压制。

当然，DGA阻断无法彻底消灭肉鸡回连的可能——攻击者仍可通过硬编码备用IP、P2P网络、云函数等多种手段维持控制。因此，对已发现的肉鸡节点，还需要跟进清除与溯源。清除的价值在于切断攻击者已建立的控制通道，使攻击者需要耗费额外成本重建跳板链；溯源的价值则在于支撑后续的追责与行业情报共享。这一工作应由监管侧的线索汇聚与执法能力统筹推动，企业侧负责发现与配合清除，构建“发现、阻断、清除到溯源”的完整闭环。

►差异化处置：对境内涉黑灰产节点，封堵之外还可通过法律责任追究机制形成威慑，压缩其生存空间；对境外攻击源，封堵IP/域名、关停C2节点是主要手段，但更依赖国际情报共享与跨境协作机制。缩路径的本质是“压缩攻击者可用的资源空间”，而非简单阻断。区分攻击源的性质，采取差异化策略，才是「缩路径」的完整形态。

但缩路径的前提是监管线索上报与协同打击通道的畅通——企业发现的攻击源、掌握的威胁指标，需要通过有效渠道上报并触发联动处置，才能从全局层面压缩攻击者的跳板池，而非仅靠单点封堵。

►人才门槛：统一流量底座可大幅降低安全运营门槛，无需高阶复合型人才即可完成基础关联研判、告警收敛、溯源取证，适配国内普遍的安全人才结构，实现能力可落地、可规模化。

更关键的是，完整的行为取证链条，让企业事件上报从「自证其罪」变为「协助打击犯罪」，破解行业「不敢报、不愿报」的核心困境。

►收敛价值：释放安全团队无效内耗，将人力聚焦于攻防对抗核心工作，实现运营效能最大化，让防御能力匹配工业化攻击节奏。

路径四：合规逻辑收敛——以「能力评估」取代「清单核查」作为合规评价核心

当前合规测评过度依赖设备清单核查，导致合规与实战割裂、底线沦为天花板。合规逻辑必须从「查设备、查条目」转向「验能力、验实效」。

►核心主张：

● 测评体系加重动态实战指标权重，重点考核资产可视度、攻击发现能力、溯源取证能力、风险闭环效率，弱化设备有无、清单齐全度的机械判定；

● 全面落地等效补偿控制机制，在不降低安全底线的前提下，依托全域流量可视、行为留存、全程溯源能力，替代冗余堆叠的专用硬件设备，实现「少设备、强能力、合规范」；

● 将实战化攻防演练结果纳入等保复评依据，以真实攻击暴露短板、倒逼长效能力建设，杜绝表演式演练、应试式防守。

● 落地层面采用「先试点、后推广」模式，在重点行业、重点区域先行落地等效合规方案，积累测评经验与行业共识，逐步推动标准迭代。

►收敛价值：让合规从被动消耗的负担，变为牵引实战能力升级的抓手，实现合规建设与风险治理同频共振。

路径五：博弈逻辑收敛——以「遏制攻击方、保护受害方」扭转治理失衡

攻防治理失衡是行业最难破解的制度障碍：执法资源过度约束受害企业，攻击团伙溯源打击力度不足，最终导致攻击者肆无忌惮、受害者负重前行。博弈逻辑收敛的核心，是解绑受害主体、重拳打击攻击源头。

►核心主张1——解除受害侧「二次伤害」：

● 区分「防护缺陷」与「遭遇攻击」。对已履行合理安全保护义务（如通过等保三级测评、具备完整网络行为取证链）但仍遭突破的企业，主动上报并配合溯源调查的，依法给予合规免责或减责空间。使上报行为从「触发风险的导火索」转变为「获取免责的前提条件」——正向激励取代逆向威慑，让受害方从「不敢报」变为「敢于报」。

● 探索建立网络安全事件上报尽职免责与正向激励机制，试点构建行业“安全港”制度。企业主动上报攻击并配合溯源调查的，监管以指导整改、能力提升为主，审慎启动行政处罚，将有限的执法资源从对受害者的「事后追责」中抽离，转向对攻击者的「事前威慑与事后追踪」。

这一治理思路在美国CISA的联合网络防御协作中心（JCDC）模式中已有成熟实践，国内可依托《关键信息基础设施安全保护条例》（CIIP）体系，立足我国网络安全治理特色，在金融、能源等重点领域率先试点，契合国内网络安全「包容审慎、容错纠错、宽严相济」的现代化治理导向，具备清晰的试点落地空间与政策适配性。

►核心主张2——集中火力惩治攻击方：

● 打通「企业上报→线索汇聚→追踪打击」的闭环链条。建立面向企业的威胁线索上报直通车，降低上报门槛、简化上报流程，使企业贡献的溯源线索能够有效输入执法部门，从零散个案汇聚为打击攻击者的大数据基础；

● 以分节点的网络行为取证支撑精准打击。利用全域溯源能力，实现对攻击者在本网络内活动轨迹各环节的证据固定，辅助执法部门追踪打击各类网络攻击团伙。当执法部门能够基于汇聚的溯源线索主动出击时，攻击者的违法成本将从「几乎为零」上升为「不可承受」。《关键信息基础设施安全保护条例》第五条明确国家对关键信息基础设施实行重点保护，采取措施「监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁」。跨境攻击的治理不仅需要企业侧的溯源取证能力，更需要监管层面的国际协作与跨境打击机制——这与条例的立法精神高度一致；

● 建立分层分类处置机制。以“企业是否具备完整的网络行为可追溯能力与合理的安全防护体系”为依据——企业已建立合规防护体系、具备行为取证链但仍遭突破的，减责或免责；对安全能力长期缺失的，指向整改；对实施攻击的，推动移送打击。

►收敛价值：「解绑受害方」让企业敢于上报、乐于配合；「惩治攻击方」让攻击者感受到切实的威慑。两条轨道一「放」一「收」，从结构上扭转攻防治理资源分配失衡的现状，为全网态势收敛提供制度保障。

路径六：产业与架构逻辑收敛——重构价值标尺，终结设备堆叠循环

行业连续11个季度营收下滑，标志着「卖设备、堆清单、赚合规钱」的旧商业模式彻底失效。产业逻辑必须完成根本性重构：安全价值不再取决于设备销量，而取决于真实风险降低效果。

►厂商端：从「设备销售、清单打包」转向「风险规划、架构极简、持续运营、实战赋能」，以全域可视底座、溯源取证能力、等效合规方案为核心竞争力，告别同质化硬件内卷。

►用户端：选型标准从「设备数量、合规覆盖率」，转向「全网可视能力、攻击制衡能力、风险可控能力、长期运营效能」。

►市场格局：传统硬件堆叠、依靠清单卖设备的厂商增长空间持续承压；以网络元数据为底座、兼具实战能力与等效补偿控制双重优势的方案厂商将确立并巩固长期竞争优势。

►收敛价值：厂商商业目标与用户风险治理目标完全对齐，终结行业自我消耗的堆叠循环，推动产业从规模内卷走向价值增长。

第四章：回到根本——网络安全究竟在治理什么

►漏洞还是行为：网络安全治理的根本之问

若治理目标是「清零漏洞」，行业永远无法收敛。软件迭代、业务更新、供应链变化注定漏洞永续存在，以漏洞清零为目标的防御，永远被动、永远滞后。

若治理目标是「约束攻击行为」，安全收敛即可真正实现。无论漏洞形态、攻击手法如何迭代，攻击者达成入侵目的，必然遵循「侦察—突破—横向移动—窃取加密」的固定行为链条，而所有网络行为都会在流量层面留下不可磨灭的痕迹。

►收敛的终极本质，不是让攻击者无法入侵，而是让攻击者入侵即留痕、动作即被观测、行为即可追溯。

全域流量可视底盘的核心价值，不是杜绝所有突破，而是构建「入侵可容忍、行为不可隐、全程可取证、后果可追责」的韧性防御体系。当攻击者预判所有入侵行为都会被完整记录、溯源打击、公开曝光，其攻击意愿与冒险动机将从根源瓦解。

►当「攻击即留痕」成为行业常态，攻击者就会重新评估「是否值得冒险」——这才是「收敛」的终极形态：不再单纯追求攻击者「无法入侵」，而是使其「不敢发起攻击；一旦入侵，必将无处遁形、难以脱身」。

安全收敛的终极跃迁，是攻防博弈的势位互换：从防御方在暗处无限承压、被动挨打，转向攻击方在明处无限受限、寸步难行。

结语：旧范式落幕，新秩序生成

二十年安全旧范式，信奉「御敌于门外」，执着于点状堵漏、设备堆叠，最终陷入投入递增、风险不减的死局。

新时代安全新范式，接纳「破门难免」的客观现实，坚守「寸步可追、全程可控」的治理底线。接纳漏洞的客观存在，终结攻击的隐秘潜行，是本次范式革命的核心内核。

这不是一次简单的技术升级，而是安全哲学、建设逻辑、产业价值、治理体系的全方位重构。以企业可视感知为末梢，以监管协同打击为中枢，政企协同、攻防共治、极简架构、实效为王，方能构建可收敛、可度量、可持续、可信任的数字安全新秩序。

如果您正深陷「投入递增、风险不减、合规负重、实战乏力」的安全建设困境，欢迎与雷盾信安深入交流，探索属于您的「收敛」之路。

我们坚持「大道至简」的理念，依托全网流量元数据全域可视底盘，愿与行业同仁一道，让安全回归风险治理的本质。

关键词索引

核心关键词：安全收敛、范式革命、全域可视、行为治理、架构极简

技术关键词：流量元数据（Flow Metadata）、攻击面管理（ASM）、终端检测与响应（EDR）、溯源取证、等效补偿控制

合规运营关键词：等保2.0、关键信息基础设施安全保护条例（CIIP）、安全运营（SOC）、实战化演练、风险驱动

行业趋势关键词：去堆叠化、产业转型、安全运营（SecOps）、安全托管服务（MSS/MDR）、攻防博弈

雷盾信安——让安全回归简单！