文章总结： 该文档针对2026年网络攻防演练新规，详细阐述了协防单位的职责转变与实战操作指南。核心要点包括：协防从辅助角色转变为责任共担节点，需独立负责自身防线；提出事前资产清底、风险加固、协同机制建立，事中7×24小时值守、快速响应主防指令、主动同步情报，事后问题整改闭环的三阶段工作法；强调协防需守住薄弱环节避免成为红队突破口，并通过实操案例说明如何实现不越界、不缺位的防守目标。 综合评分： 87 文章分类： 安全建设,安全运营,实战经验,解决方案,网络安全

2026年网络攻防演练新规下，协防单位作战手册

原创

Hash先生 Hash先生

倬其安

2026年7月1日 00:00 福建

在小说阅读器读本章

去阅读

以前大家默认一个潜规则：主防是扛事的，协防是凑数的。

尤其是银行分行、集团子公司、外采系统供应商这类角色，往年护网基本就是走个过场：报个对接人，开个动员会，剩下的全靠主防单位顶着。天塌下来有高个子扛，红队打进来也是总行的锅，跟协防没多大关系。

但2026年新规落地之后，这套玩法彻底行不通了。协防责任正式纳入联动考核，红队从你协防的口子突破进来，主防要扣分，你协防单位一样跑不了——行业通报、监管整改、绩效挂钩，一样都少不了。

很多一直做主防的朋友最近都在问：如果换成协防身份，到底该怎么干？干多了怕越界，干少了怕追责，完全摸不准边界。

一、定位：协防不是打辅助，是防守链条的责任节点

很多人对协防的理解从根上就错了：觉得协防就是主防说啥我干啥，被动配合，责任全在主防。

实际上根本不是这么回事。对主防单位来说，协防就是延伸出去的前沿阵地，是防守链条上的独立责任节点。现在红队早就不硬刚主防的正门了——总行边界层层设防，打进去成本太高。他们最喜欢的路径，就是从分行弱口令、子公司漏洞、供应商后台这些协防薄弱点下手，顺着专线、对接链路一跳，直接摸进主防内网。

你守不住自己的门，就是给主防开后门。新规把协防纳入联动考核，本质就是压实“谁的地盘谁负责”，别把锅都甩给主防。

说直白点：以前协防是“友情支援”，现在是“责任共担”。你的地盘出了问题，谁也替你背不了。

二、协防核心工作：不越界、不缺位

协防不用像主防那样搭全套指挥体系，但全流程的动作必须到位。核心就是三句话：事前扫干净自己的门，事中守好地盘、配合落地，事后闭环整改。

第一步：事前准备——把自己的地盘先捋明白

协防能不能过关，80%看事前准备。别等护网打响了才手忙脚乱，事前把四件事做扎实，基本就不会出大问题。

1. 资产全量清底，给主防交一本“明白账”

很多协防单位最大的雷，就是自己都说不清自己有多少资产。有多少终端、多少条外联出口、多少套外采系统、和主防有几条对接链路、开放了哪些端口，一笔糊涂账。

护网前必须自己先盘清楚：

• 所有和主防连通的专线、环网、对接通道，全部梳理出来，没用的链路直接断掉，只保留业务必需的最小通路；
• 本地的服务器、终端、外采系统登记造册，弱口令、闲置账号、测试账号全部清理干净；
• 把资产清单、边界策略、责任人信息，统一报给主防单位对齐。

主防最头疼的，就是协防单位资产不清。出了告警，给你一个源IP，你半天查不到对应哪个终端、谁在使用，溯源直接卡壳。你把账交明白了，主防省心，你自己也不容易出事。

2. 前置风险加固，把低级破绽堵死

红队打协防，根本用不上什么高级漏洞，基本都是最基础的手段：弱口令、钓鱼邮件、半年前的老漏洞。你把这些低级问题补上，就能挡住90%的攻击。

• 终端侧：全量开启EDR，系统补丁更到最新，默认关闭远程桌面，非必要的共享权限全部收掉；
• 边界侧：和主防对接的专线端口收至最小，445、3389、22这类高危端口，非必要全部封禁；
• 应用侧：本地外采系统该打补丁打补丁，打不了就加虚拟补丁，后台管理地址禁止公网访问，只放通主防和内部指定地址。

你这里越结实，红队越懒得碰你，转头去啃硬骨头，你就越安全。

3. 打通协同链路，别出事了找不到人

和主防提前敲定对接机制，别等攻击发生了才到处找联系人。

• 定人：设AB两个对接岗，一个日常联络，一个应急值守，7×24小时能接通，避免一个人失联全线瘫痪；
• 定渠道：明确告警怎么传、事件怎么报、紧急情况走什么路径（电话+应急群+短信三保险）；
• 定时效：什么级别的事件多久内上报、处置完多久反馈，全部说死，别到时候磨磨蹭蹭。

最好护网前跑一次联调测试：模拟主防发一条协查指令，看从接收到定位、反馈结果，全流程通不通，卡在哪立刻改。

4. 内部先跑一遍流程，别临场掉链子

自己内部先做个小演练：员工收到钓鱼邮件怎么上报、终端告警怎么排查、主防通知溯源怎么定位到人。

别等真出事了，你的人连EDR怎么隔离终端都不会，还要主防一步步远程教。真到那个时候，攻击者早就横向移动完了。

第二步：事中值守——守好自己的门，当好主防的手和眼

护网期间，协防不是坐在工位上等指令。核心要干好两件事：看好自己的地盘，配合主防快速落地。

1. 第一要务：先守住自己的一亩三分地

别觉得有主防盯着就万事大吉。主防在总部，只能看到跨域边界的流量，你内部终端的异常、本地系统的状态，只有你自己最清楚。

• 7×24轮班盯好自己的安全设备：EDR告警、邮件网关、本地防火墙、服务器日志；
• 重点盯四类风险：钓鱼邮件点击、终端暴力破解、异常外连、非工作时间的运维操作；
• 发现异常先初步核实，是误报就消警，是真实风险立刻做初步处置（比如隔离终端），同时同步主防。

守住自己的门不被突破，不给主防添乱，就是协防最大的贡献。

2. 核心价值：主防的指令要快速落地

主防在总部，碰不到你这边的终端和设备，很多处置动作必须靠协防落地。这也是协防最核心的价值。

主防发来协查或处置指令，别磨磨蹭蹭，要做到“快定位、快核实、快反馈”：

• 给你源IP/账号，10分钟内查到对应的终端、使用人、当前状态；
• 给你处置指令（隔离终端、禁用账号、封端口），按规范快速执行，执行完立刻回传结果；
• 涉及业务影响的，自己内部协调业务部门，别把矛盾甩给主防。

举个很常见的例子：主防发现某个分行IP在扫描总行办公区服务器，发协查给分行协防。协防要做的不是回一句“知道了”，而是立刻查终端、定人员、判风险，该隔离隔离，10分钟内把结果反馈回去。响应越快，攻击扩散的概率就越低。

3. 关键原则：情报主动同步，别捂着掖着

自己发现可疑情况，哪怕看起来是小事，也要第一时间报主防。

比如有员工点了钓鱼邮件，别自己杀个毒就完事。万一攻击者已经拿到终端权限，顺着链路往总行摸了，你捂着不说，等主防自己发现的时候，事态早就扩大了，到时候责任更重。

记住：协防和主防是一条船上的，早通报、早处置，把风险掐灭在萌芽里，对谁都好。

4. 红线纪律：别私自操作，所有动作对齐主防

协防最容易犯的致命错误，就是私自操作不打招呼。

• 发现攻击就私自把专线断了，导致主防侧业务大面积异常；
• 私自给某个业务加白名单，结果把红队放了进来；
• 私自接触红队、打探演练信息，违反演练纪律。

护网是一盘棋，所有影响跨域业务、影响整体防守策略的操作，必须先跟主防同步，同意了再干。别自己瞎决策，最后捅了娄子谁都兜不住。

第三步：事后复盘——别护网结束就撤岗，问题要闭环

很多协防单位，护网一结束就立刻撤岗，该咋样还咋样，发现的问题转头就忘。这其实是白白浪费了一次免费体检的机会。

1. 主动要问题清单：别等主防发通报，主动对接主防，拿全本次演练中你们侧暴露的问题、攻击路径、响应不及时的点。
2. 问题整改闭环：每个问题定责任人、定整改期限，改完验证，验证完报主防销号。别今年出的低级问题，明年护网还在。
3. 内部复盘优化：自己内部也过一遍，哪些地方响应慢了、哪些流程不顺、哪些能力有缺口，优化了明年用。

![](https://mmbiz.qpic.cn/mmbiz_png/5GBRKfKXqpv3UEdyCDhgj2ic0QiclGDzdWASGcLAG8Fzl9ibicVC64tSKz3I4kg4dBg3WiaurszKZlzT3I0mYHVMaJA/640?wx_fmt=png#imgIndex=0)![](https://mmbiz.qpic.cn/mmbiz_jpg/cuBApO3XWpSMbPO4BjnKvkIZ6IdfXjJX7b5cqBz79XDB8aLttiaOicXh80qALicmgia6F2dvxTWBWia3ic4govxibVWXA/640?wx_fmt=jpeg&watermark=1#imgIndex=1)

「倬其安」分享一线实战中的故障洞察与架构思考。

提升安全认知，筑牢防护体系！

“倬其安，然无恙”。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：倬其安 Hash先生 Hash先生《2026年网络攻防演练新规下，协防单位作战手册》