在攻防演练中，布防报告既是前期防守工作的集中呈现，也是演练评审、内部汇报的核心依据。很多队伍防守动作做得扎实，但报告逻辑混乱、重点模糊、成果量化不足，最终导致 “干得好但分不高”，工作价值也难以被感知。

　　一份优秀的布防报告，不是工作流水账，而是防守体系的说明书、工作成果的成绩单、风险管控的方案书。本文从报告内容框架、编写技巧、避坑要点三个维度，系统梳理布防报告的编写方法。

　　布防报告核心要回答四个问题：我们防什么、怎么防、防得怎么样、还有什么风险。围绕这四个核心，可拆分为 8 个标准模块。

　　1.防守工作概述

　　作为报告开篇，需要讲清背景与全局信息，快速建立整体认知。

演练背景与目标：说明本次演练的级别、周期、考核要求，以及我方防守的核心目标（如保障核心业务不被攻陷、实现攻击全链路可溯源等）。

防守范围界定：明确覆盖的资产边界，包括公网资产数量、核心业务系统、内网区域划分、云资产及第三方外联接口。

组织架构与分工：列明防守团队组成、角色划分（监测研判岗、应急处置岗、溯源反制岗、综合协调岗）、值守机制（7*24 小时排班、分级上报流程）。

　　2.资产梳理与暴露面收敛

　　资产是防守的基础，这部分重点体现 “底数清、收敛严”，是评审的核心得分点之一。

全量资产盘点成果：输出资产盘点总数，按业务重要性、资产类型分类统计，重点说明排查出的影子资产、废弃系统、测试环境数量及处置情况。

暴露面收敛动作：量化呈现收敛效果，例如关闭非必要端口数量、下线无业务价值的测试系统、统一互联网出口、收敛第三方暴露接口等。

敏感信息清理：说明针对代码托管平台、公开文库、社工库的排查范围，以及清理的内部文档、账号信息、源码泄露条目数量。

3.脆弱性闭环治理

　　漏洞与弱配置是红队最直接的突破口，这部分要体现 “优先级明确、闭环率高”。

漏洞整改整体数据：按高危、中危、低危分类统计漏洞总数、已整改数、整改率，重点标注远程代码执行、文件上传、中间件通用高危漏洞的处置情况。

重点专项治理：针对弱口令、基线配置、0day/Nday 应急响应做专项说明，例如排查终端 / 服务器弱口令数量、完成系统基线加固数量、热点漏洞全网排查覆盖率与处置时长。

暂无法整改风险：客观列示因业务连续性等原因无法立即修复的漏洞，同步说明临时缓解措施（如访问控制限制、重点监测）。

　　4.纵深防御体系建设

　　这部分是防守技术体系的核心展示，体现 “分层防御、层层卡点” 的布防思路。

边界防护层：防火墙、WAF、IPS 的策略优化情况，新增拦截规则数量，针对常见攻击载荷的防护配置。

网络监测层：全流量分析、NDR 部署覆盖范围，网络分段与访问控制策略调整，蜜罐诱捕节点的部署位置与数量。

主机终端层：EDR/HIDS 部署覆盖率，服务器与终端的权限最小化配置，关键主机的白名单策略落地情况。

应用与数据层：API 接口安全管控、文件上传校验、账号双因子认证覆盖范围、核心数据访问审计策略。

　　5.监测研判与应急响应准备

　　体现 “发现快、处置准” 的实战能力，证明防守不是静态堆砌设备，而是有动态运营机制。

日志与告警体系：说明日志汇聚范围（覆盖多少类设备、日志量级）、告警分级规则、高优先级告警类型。

应急响应机制：明确三级事件分级标准、对应处置流程、上报路径，以及应急工具、处置预案的准备情况。

主动狩猎能力：说明威胁狩猎的场景、频次、支撑工具，提前梳理的攻击工具特征库与检测规则数量。

　　6.社工防护与人因管控

　　人是防守体系中最薄弱的一环，这部分容易被忽略，但恰恰是评审的加分项。

全员安全意识培训：演练前开展的培训场次、覆盖人数、培训核心内容。

钓鱼邮件专项演练：自主开展钓鱼测试的结果数据（点击量、填报率），以及针对高风险人员的二次强化培训。

账号安全管控：管理员账号权限梳理、多因素认证落地、异常登录监测配置等。

　　7.风险评估与遗留问题

　　客观呈现当前防守短板，体现专业性与严谨性，避免 “绝对安全” 的夸大表述。

现存风险分析：从技术、管理、人员三个维度，列示当前仍存在的高、中风险点，说明风险影响范围与发生概率。

制约因素说明：针对未整改项，客观说明业务约束、技术限制等原因，不回避问题。

临时缓解措施：每一项遗留风险都必须对应可落地的缓解手段，确保风险可控。

　　8.后续工作计划

　　形成完整的工作闭环，体现持续改进的思路。

技术加固计划：漏洞整改、设备补充、规则优化的具体事项与时间节点。

流程优化方向：应急流程、协同机制、值守模式的改进点。

能力建设规划：人员技能培训、实战化演练、工具平台建设的长期规划。

　　1.成果全部量化，用数据说话

　　避免 “完成了资产梳理”“开展了漏洞整改” 这类空泛表述，所有工作都配套量化结果。

　　反面：对全网资产进行了全面梳理。

　　正面：累计梳理公网资产 186 个，排查出影子资产 12 个，收敛非必要端口 73 个，公网暴露面缩减 42%。

　　数据对比是提升说服力的核心手段，收敛前后、整改前后、演练前后的数值变化，比任何描述都有冲击力。

　　2.紧扣评分标准，精准踩中得分点

　　攻防演练通常有明确的防守评分细则，编写报告前先拆解评分项，确保每一项考核点都有对应章节、有具体内容、有支撑数据。

　　例如评分项包含 “资产识别覆盖率”，就在资产章节专门列示覆盖率数据与排查方法；

　　评分项包含 “蜜罐诱捕能力”，就单独说明蜜罐部署策略、交互能力与预期效果。

　　不要让裁判自己找得分点，要让他顺着你的报告直接打分。

　　3.突出核心亮点，打造记忆点

　　常规动作大家都在做，报告要拉开差距，必须突出差异化亮点。

　　技术类亮点：自研自动化封禁平台、攻击溯源反制体系、全流量 AI 检测能力；

　　管理类亮点：跨部门协同机制、全员实战化钓鱼演练、业务无中断加固方案；

　　效率类亮点：高危漏洞 24 小时闭环、告警平均研判时长压缩至 5 分钟。

　　亮点内容建议放在报告靠前位置，或用专门的 “防守亮点” 小节集中呈现。

　　4.结构化表达，逻辑层层递进

　　遵循 “总 - 分 - 总” 的叙事逻辑，大章节下分小节，小节内用 “结论先行 + 数据支撑 + 动作说明” 的结构。

　　每段开头先给结论，再展开细节；

　　关键结论加粗标注，方便快速浏览；

　　同类型内容用表格呈现，对比清晰、节省篇幅。

　　裁判阅读报告的时间有限，要保证 3 分钟扫读能抓住核心成果，10 分钟精读能看到完整细节。

　　5.图文结合，提升专业质感

　　纯文字报告可读性差，合理搭配图表能大幅提升专业度。

　　架构类：纵深防御体系图、防守组织架构图；

　　数据类：漏洞整改率柱状图、攻击拦截分类饼图、资产分类统计表；

　　流程类：应急响应流程图、告警研判流程图。

　　图表要规范清晰，和正文内容一一对应。

　　6.问题与对策并行，不只抛难题

　　写遗留风险和存在问题时，绝对不能只列问题不说方案。每一个问题都必须配套 “风险影响 + 缓解措施 + 整改计划”。

　　反面：部分老旧系统存在高危漏洞，无法升级。

　　正面：部分老旧业务系统因厂商停止维护存在高危漏洞，无法直接修复；已通过限制访问源 IP、7*24 小时重点监测进行缓解，计划 Q4 完成系统替代升级。

　　7.按需调整侧重点，适配不同受众

　　面向演练裁判：侧重过程合规性、动作完整性、成果量化，严格对应评分细则；

　　面向内部管理层：侧重风险管控效果、业务保障价值、投入产出比，弱化技术细节，突出整体风险下降幅度；

　　面向技术团队：侧重具体技术配置、规则细节、处置流程，偏向可落地的操作指引。

　　1.流水账式堆砌，没有结论

　　只罗列 “第一天做了扫描，第二天做了加固”，没有总结整体成效，也没有提炼防守体系逻辑。报告不是工作日志，要先给结论，再补支撑。

　　2.夸大表述，前后矛盾

　　避免 “百分百安全”“全部阻断” 等绝对化表述；同时注意数据前后一致，比如前面说高危漏洞全整改，后面又列大量遗留风险，会严重削弱可信度。

　　3.内容空洞，全是套话

　　通篇 “领导高度重视、加强组织领导、落实主体责任” 这类空泛表述，没有具体动作、具体数据、具体成果。管理表述可保留，但必须配套实质性内容。

　　4.细节疏漏，出现低级错误

　　资产数量前后对不上、时间日期写错、单位名称有误、专业术语拼写错误，这类低级错误会直接拉低报告的专业印象，提交前务必交叉核对。

　　5.只讲技术，不谈业务

　　防守的最终目的是保障业务。报告中要关联业务价值，比如 “核心交易系统零中断”“敏感数据未发生泄露”，让非技术背景的管理者也能看懂工作价值。

　　布防报告是防守工作的 “第二战场”。好的防守报告，既能在演练评审中精准得分，也能在内部汇报中体现团队价值，更能作为自身安全能力建设的沉淀文档。

　　防守做得扎实是基础，把工作写清楚、写专业、写得有价值，同样是蓝队的核心能力。