开源单二进制 · 私有化部署 · 内网离线可用

看得见攻击，
说得清证据，
处置得下去。

netsa 是面向自建机房与私有云的开源安全态势感知平台。一个二进制接入 Web、防火墙、主机与 DNS 日志，用响应与会话证据判断攻击是否真的成功，再按处置时限推到闭环——不需要 Elasticsearch、Kafka 或数据库。

免费部署开源版预约 30 分钟演示

开源版永久免费 · 单机 2 小时跑通 · 数据不出内网

40+日志格式自动识别

46万/秒单机端到端吞吐

3µs单条检测耗时

0外部中间件依赖

实时威胁指数

100 严重

由响应与会话证据裁决

真实攻击源还原

1,246 个 IP

已穿透 CDN 与代理 · 覆盖 47 个国家

46万条 / 秒

单机端到端吞吐

69条

内置特征检测规则

40+ 种

日志格式免适配接入

2小时

单机到出第一张态势图

无需改造日志，直接接入你已有的设备与采集链路

nginxApacheIIS W3C CaddyTraefik自定义 log_format iptablesUFWfirewalld nftablespfSenseCisco ASA / FTD Palo AltoFortiGate华为 USG H3C深信服山石 Suricata EVESnortZeek Linux auth.logWindows 安全事件OpenVPN BINDCoreDNSWindows DNS Docker json-fileFilebeatFluent Bit LogstashVectorECS JSON

01 / 适用对象

为「人对结果负责、但人手有限」的团队而做

netsa 不假设你有一个 7×24 的安全运营中心，也不要求你先建一套数据平台。它面向的是那些必须把等保、告警和处置都扛下来，却只有一两个人能盯屏幕的组织。

1–3 人的安全团队

既要接等保测评，又要盯每日告警，还要在月底写出报告。人手不够，只能靠加班补。

用 netsa告警自动聚合成事件、按 SLA 推进，日报周报自动生成，把「盯屏幕」变成「按清单处置」。

政务与事业单位

测评前突击补材料，日志留存、审计与边界防护年年被扣分，整改项说不清从哪下手。

用 netsa按 GB/T 22239-2019 三级逐项自查，给出证据与整改建议；日志留存 180 天且哈希链可校验。

高校与医院信息中心

出口流量大、源地址混杂 NAT 与代理，一封就是一大片，误伤投诉比攻击还难处理。

用 netsa穿透代理还原真实来源，按同源关联锁定持续攻击者，封禁列表可以直接下发。

云与托管服务商

客户多、预算敏感，每个客户都要一套看板，交付和运维成本压不下来。

用 netsa单二进制按客户分实例交付，模板化配置，两小时内复制一套新的监测环境。

也要说清边界：netsa 专注在日志层的检测、溯源与处置。如果你需要的是终端 EDR、邮件安全网关、云 WAF 或漏洞扫描器本身，它不是这些环节的替代品——它负责把这些设备产生的日志变成判断和动作。

02 / 问题诊断

安全运营卡住的地方，往往不是「没有设备」

设备早就买了，日志也一直在产生。真正耗掉人力的是这四件事。

接不进

每来一种设备就要写一套解析规则，字段、时区、编码对不上，接入排期比采购还长。

netsa 自动识别 40 余种格式，按数据源与发送端独立解析；自定义 log_format 与 Syslog 直接收。

判不准

「高危」里有一半是 WAF 已经拦掉的扫描，真正的成功利用埋在噪声里没人看见。

netsa 统一等级裁决 + 响应基线复核：已拦截、请求失败、后端异常最高只到高危。

溯不到

CDN 和代理后面只剩节点 IP，GeoIP 只到国家，封禁只能整段拉黑。

netsa 还原真实 IP 到省市，识别 XFF 伪造与绕过 CDN 直连，同源关联找出同一攻击者的其他 IP。

闭不了环

告警看完就过去了，谁在处理、处理到哪一步、有没有超时，全靠群里追问。

netsa 告警聚合为事件，按 1 / 4 / 24 / 72 小时时限推进，超时自动提醒，处置全程留痕。

别人告诉你「有攻击」。
netsa 告诉你「打没打穿、从哪来、该谁在多长时间内处理」。

03 / 产品架构

一套系统，一条从头走到尾的证据链

从一条日志进入系统，到它变成一条可处置的事件，中间经过六个环节。每个环节都可观测、可回溯，等级只在最后一个环节裁决——这是告警可信的前提。

数据源

Web 服务器防火墙 · IDS / IPS 主机与 VPN 认证 DNS 容器与采集器

接入

文件实时跟踪批量分析（含 .gz） Syslog UDP / TCP / TLS 发送端白名单与限速

处理链

1格式识别 → 2真实 IP 还原 → 3威胁检测 → 4证据复核 → 5学习校准 → 6等级裁决

存储

状态库：画像 · 告警 · 事件 · 攻击面原始日志：按小时压缩 + 哈希链 PostgreSQL 归档（可选）

应用

态势大屏攻击面分析安全评估事件处置报表与等保 REST API / SSE 钉钉 · 企业微信 · 飞书

等级只在一处裁决 规则声明的等级只是建议值，避免各环节各自加减，同类事件忽高忽低。

证据优先于表象 防火墙「放行」、响应 200、失败后登录成功，都要再用会话与基线复核。

学习有边界 只从人的结论学习，每次最多调整一级，利用成功仍判严重。

纯 Go 实现，无 CGO 交叉编译单文件源码可审计检测规则可自定义 REST API 全量开放 Prometheus 指标

04 / 产品能力

九个能力，对应九个具体的运维动作

不是功能清单的堆叠。每一条都对应你在接设备、值班、写报告时真实要做的事。

接入与解析让日志先能进来

零依赖，一个二进制跑完全部

前端页面、世界与中国省市地图、离线定位库全部编译进同一个文件，不依赖 Elasticsearch、Kafka 或数据库。镜像同时提供 amd64 与 arm64。

单二进制amd64 / arm64离线可用

40+ 格式免适配

覆盖 nginx / Apache / IIS / Caddy、iptables、FortiGate、华为、H3C、Palo Alto、Suricata、Linux 与 Windows 认证、主流 DNS，以及 Docker、Filebeat 等采集器的包装格式。

自动识别自定义 log_format

三条采集通道，接法不挑环境

文件实时跟踪支持通配符与 logrotate 轮转；批量分析可回放历史 .gz 日志；Syslog 同时监听 UDP / TCP / TLS，支持双向认证、发送端白名单与断流告警。

文件批量Syslog TLS

检测与研判让告警值得相信

69 条特征规则 + 行为检测

覆盖 SQL 注入、XSS、命令执行、Log4Shell、SSRF、XXE、反序列化、WebShell 与已知漏洞利用；叠加 CC、暴力破解、撞库、接口遍历、端口扫描等时间窗口行为检测。

多轮解码AC 预筛

统一裁决 + 证据复核

等级由一处统一裁决，再用响应基线、会话证据与 DNAT 映射排除单页应用兜底页、统一错误页、没打到服务的「放行」。已拦截不会被标成严重，真利用不会被漏掉。

风险裁决误报抑制

溯源到城市，也溯源到团伙

融合 ip2region、MaxMind、ip-api、rDNS、RDAP 多源定位并给出置信度；还原 CDN 与代理背后的真实 IP；同源关联按网段、工具指纹、手法找出疑似同一攻击者。

XFF 伪造识别同源关联

运营与合规让事情真的被处理完

事件处置与 SLA

同源告警自动聚合为事件，支持指派、处置说明与批量操作；严重 1 小时、高危 4 小时、中危 24 小时、低危 72 小时，涉及核心资产自动升一级，超时推送到群。

自动重开SOAR 接口

留存、审计与等保自查

原始日志按小时压缩留存 180 天，分段 SHA-256 写入哈希链可校验是否被改；三角色 + 双因素 + 防篡改审计链；按等保 2.0 三级逐项给出符合性判定与整改建议。

哈希链GB/T 22239

自学习与 AI 研判，但守住边界

从分析员的处置结论中学习，反复误报的规则与接口自动降级，已确认的攻击者再次出现自动升级。AI 支持 OpenAI、Anthropic 与内网 vLLM，只给建议，不自动处置。

一致率统计本地模型

05 / 产品界面

五块屏幕，覆盖安全运营的一天

早上看态势，白天处置事件，晚上补攻击面与合规报告——所有页面共用同一份证据链，不用在多个系统之间对账。

一屏看清正在发生什么

世界与中国双视图攻击地图，可下钻到省和地市；KPI、趋势与分布图都能点击穿透到攻击源或告警详情，SSE 实时推送无需刷新。

攻击飞线、告警滚动与威胁指数实时更新
Web 请求、防火墙事件、攻击事件三条曲线对照
攻击类型、攻击阶段、高危端口多维分布
数据源健康度与解析失败样例可下钻

06 / 部署方案

四种部署形态，按你的网络条件选

全部为私有化部署，日志与资产数据不出你的网络。起步只需要一台 2 核 4G 的服务器，需要更高吞吐或长期归档时再横向扩展——不用为了「先跑起来」提前买一套集群。

推荐起步

单机一体化

一个二进制或一条 docker compose up，前端、地图与定位库全部内置。适合首次验证与中小出口。

规格2 核 4G 起
端口8080 大屏 · 5514 syslog
上线约 2 小时

生产标准

Docker Compose 生产部署

固定镜像版本，日志目录以只读方式挂载，状态数据落到独立数据卷，内置健康检查与重启策略。

规格4 核 8G 起
数据数据卷 netsa-state
运维快照 + 版本回滚

隔离网络

内网 / 离线部署

镜像导出后拷贝导入，或推送到内网私有仓库；关闭在线溯源后由内置定位库提供城市级结果，全程无外联。

方式docker save / load
外联0（可完全隔离）
更新离线包导入

规模扩展

多实例与长期归档

按数据源拆分实例，统一入口聚合查看；接入 PostgreSQL 保存历史告警，满足跨年检索与留存合规。

拆分按数据源 / 租户
归档PostgreSQL 可选
保留按年配置

参考规格

按日均日志量估算，最终规格以 POC 实测为准。

日均日志量	建议配置	存储	说明
< 5 GB	2 核 4G	100 GB	单机，中小出口或试点
5–20 GB	4 核 8G	300 GB	开启原始日志留存
20–50 GB	8 核 16G	1 TB	留存目录建议独立磁盘
> 50 GB	多实例	按需	按数据源拆分后统一入口

日志复杂度、留存天数、是否开启在线溯源与 AI 研判都会影响实际占用。POC 阶段我们会用你的真实日志给出规格建议。

上线清单

按这份清单走，单机部署通常在两小时内完成。

服务器与端口：8080 大屏、5514 syslog（UDP / TCP）
日志源：确认路径与读取权限，logrotate 轮转可正常跟进
设备接入：防火墙 / IDS 的 syslog 指向服务器，登记发送端
账号与权限：修改初始密码，按角色分配，必要时开启双因素
告警出口：添加钉钉 / 企业微信 / 飞书机器人并发送测试消息
资产台账：导入资产与漏洞 CSV，标记核心资产
留存与审计：设置留存天数、容量上限与备份路径
备份与升级：确认数据卷备份方式与回滚版本标签

07 / 实施路径

从看到效果，到真正跑起来，只要一个月

不用一次性把所有数据源接完。先用真实日志验证判断质量，再决定接多少、接多深。

DAY 0

跑通演示环境

用内置模拟攻击日志启动完整大屏，15 分钟看到检测、溯源与处置长什么样，不需要准备任何数据。

产出：环境可用 · 功能确认

DAY 1

真实日志 POC

接入 1–2 个核心数据源，核对识别率与告警质量，用你自己的攻击样本验证研判是否可信。

产出：识别率 · 误报评估 · 规格建议

DAY 7

核心资产试点

接入对外业务与核心资产，配置事件流程、处置时限与群机器人推送，让值班同事实际用起来。

产出：处置流程 · 告警出口 · 值班手册

DAY 30

生产运行

扩展数据源与留存策略，启用周报月报与等保自查，进入常态化运营并按季度复盘规则效果。

产出：月度报告 · 合规证据 · 优化清单

08 / 方案对比

和商业 SIEM、自建 ELK 比，差在哪、省在哪

这三条路都能做安全分析，区别在于你愿意为「开箱即用」付多少钱，以及愿意养多大的团队。

关键维度	传统商业 SIEM	自建 ELK 管道	netsa
部署形态	集群 + 专职运维，实施周期以月计	ES、采集器、看板全部自建	单二进制或一条 compose，2 小时跑通
日志接入	厂商适配，非标设备需另行开发	自己写解析管道，逐台调字段	40+ 格式自动识别，按发送端独立解析
告警质量	规则等级各自加减，误报靠人工长期调	只提供检索，研判逻辑要自己实现	统一裁决 + 响应/会话证据复核
溯源能力	通常到国家 / ASN，CDN 后是节点 IP	需自建 GeoIP 与代理还原管道	真实 IP 到省市，识别伪造与同源团伙
运营闭环	事件与工单通常另购模块	几乎没有，需要自建	事件、SLA、推送、留存、报表内置
成本结构	按日志量计费的商业授权	硬件 + 人力，隐性成本高	开源版免费，商业版为服务付费

← 左右滑动查看完整对比 →

不否认商业 SIEM 在超大规模、多租户与生态集成上的优势。netsa 的取舍是：把日常 80% 的场景做到开箱可用，把部署与运维成本压到一个人能承担的范围。

09 / 解决方案

六个行业，六种最痛的切入方式

同一套检测与证据链，从每个行业最疼的那一环开始，再逐步扩展到完整的安全运营。

政务 / 事业单位

等保 2.0 自查与整改跟踪

依据 GB/T 22239-2019 第三级逐项判定符合性，附平台证据与整改建议，把测评前的突击准备变成日常自查。

切入动作：跑自查 → 出整改清单 → 按月复核

金融 / 城商行

告警降噪与处置提效

用响应与会话证据过滤掉大量「已拦截」和「未到达服务」的噪声，让有限的值班人力集中在真正有风险的少数事件上。

切入动作：接 WAF 与边界日志 → 配 SLA → 接群机器人

教育 / 校园网

攻击溯源与团伙关联

穿透 NAT 与代理还原真实来源，识别持续扫描、撞库与 DNS 隧道，把零散告警串成同一攻击者的完整画像。

切入动作：出口日志接入 → 同源关联 → 下发封禁列表

制造 / 能源

隔离网内的持续监测

关闭在线溯源后完全离线运行，定位库可离线导入热更新；不引入任何需要外网校验的组件。

切入动作：离线镜像导入 → 关闭外联 → 内网网段建模

云 / IDC 服务商

多租户攻击面梳理

按站点与域名梳理对外服务，发现客户侧的源码、备份与管理后台暴露，作为增值安全服务交付。

切入动作：按客户分实例 → 暴露面清单 → 月度报告

中小企业

一个人也能跑起来的安全运营

没有专职安全团队，也能在两小时内完成部署：自动检测、自动聚合、自动推送，周报直接发到负责人邮箱。

切入动作：单机部署 → 开自动推送 → 订周报

10 / 客户实践

上线之后，哪些数字变了

以下为真实部署场景的运营统计，应客户要求隐去单位名称。

省级政务云匿名 · 华东

用一次自查，提前发现 27 个疑似失陷资产

背景互联网暴露面大，测评前需要两周人工整理日志与台账。

做法接入 Web 与边界日志，每周跑一次安全评估，整改项按 P0–P3 排队。

结果暴露资产从 213 收敛到 47，自查整改项全部闭环。

213 → 47对外暴露资产收敛

100%等保自查整改闭环

城市商业银行匿名 · 华南

把值班群里的告警量砍掉了近八成

背景WAF 与边界设备各自告警，同一起攻击在三个群里重复刷屏。

做法统一接入后按事件聚合，用证据复核压掉已拦截的噪声，配置分级推送。

结果无效推送下降 78%，平均处置时长从 6.2 小时降到 48 分钟。

-78%无效告警推送

6.2h → 48min平均事件处置时长

双一流高校匿名 · 华中

从零散告警里认出 12 个持续攻击团伙

背景校园网出口日志量大，源地址经多层 NAT，封禁常常误伤正常用户。

做法启用代理还原与同源关联，按工具指纹与手法聚类，输出可下发的封禁清单。

结果识别出 12 个持续攻击团伙，封禁范围从整段收敛到具体来源。

12 个识别出的持续攻击团伙

47 国攻击来源定位覆盖

* 数据来自客户部署后的平台运营统计，具体数值随环境与流量规模不同。

11 / 价格方案

平台永久免费，
付费买的是「会过期的知识」

我们不靠给功能上锁赚钱。平台本体与检测引擎永久开源；你付的每一分钱，买到的是持续更新的规则与情报、以及有人按小时负责的时间。

社区版

自助部署，适合个人、实验室与预算有限的团队。

¥0/ 永久

开源仓库直接获取，无功能阉割

全部检测能力与内置规则
态势大屏、攻击面、安全评估
事件处置与自学习校准
单机部署，amd64 / arm64
社区 Issue 支持

在开源仓库获取

规则随版本发布，不含订阅更新

最受欢迎

专业版

面向有等保要求、需要持续规则供给与响应承诺的生产环境。

¥29,800/ 年起

含 1 个生产实例、50 台纳管资产

社区版全部能力
检测规则与威胁情报按月更新
定位库与行政区划数据随季更新
等保 2.0 自查模板与报告解读
远程部署协助与配置评审
工作日 8×5 工单，4 小时响应

预约演示并报价

按年订阅，到期不锁机 · 支持对公转账与合同

企业版

多实例、强合规与专属交付，适合集团与关键信息基础设施单位。

定制

按规模与服务范围报价

专业版全部能力
多实例与高可用部署方案
专属规则开发与日志格式适配
等保测评现场支撑与培训
7×24 值班通道，1 小时响应

联系方案顾问

可签保密协议与数据处理协议

开源与商业的边界，写在明面上

代码可见，是我们敢让你审计的底气；订阅收费，是因为知识和责任都会过期。

查看开源仓库

永久开源

接入解析与 40+ 格式识别
检测引擎、行为检测与研判
溯源、大屏、事件处置
REST API 与全部界面

功能不阉割，源码可审计，自行部署与调优。

按年订阅

检测规则与情报按月更新
定位库与行政区划数据
等保自查模板与报告解读
官方镜像与版本支持

新漏洞、新手法、新话术，续费才有。

项目交付

部署实施与配置评审
等保测评现场支撑
专属日志与规则适配
7×24 值班与培训

按人力与责任计费，可签 SLA 与保密协议。

可选服务现场实施调优 · 测评现场支撑 · 专属日志适配 · 定制规则开发 · 值班培训 采购说明私有化部署 · 按年订阅 · 对公转账与合同 · 教育公益专项折扣 · 支持 30 天试用 许可协议Apache-2.0，允许商用、修改与再分发；商标不在授权范围内

不确定该选哪一档？先用开源版跑通，再按实际数据量决定。需要采购清单或参数对比表？→

12 / 资源中心

在联系销售之前，你可以先自己验证

我们把判断依据尽量前置：文档、清单、能力说明都可以先看，再决定要不要聊。

部署指南

生产部署、环境变量、升级回滚、内网离线与从源码构建的完整步骤。

查看部署方案

日志接入清单

按设备类型列出采集方式、字段要求与常见坑，接入前先自查一遍。

联系获取

检测能力说明

覆盖的攻击类型、等级判定规则、研判复核逻辑与误报抑制的边界。

查看产品能力

等保自查清单

对照 GB/T 22239-2019 三级的自查项与所需证据，可直接用于内部整改。

联系获取

13 / 常见问题

选型、部署与合规的十二个高频问题

选型与定位

它和我们已有的 WAF、IDS 是什么关系？

互补，不替代。WAF 负责拦截，IDS 负责发现，netsa 负责把它们的日志、以及服务器与主机日志放在一起判断：这次攻击有没有真的打穿、来源在哪、该谁处理。已经买了的设备继续用，netsa 不要求你替换边界防护。

为什么不做成 SaaS？

因为目标客户的日志大多不能出网。政务、金融、制造的内网环境连镜像拉取都要走审批，把日志传到云端通常过不了合规。netsa 从设计上就是私有化优先：单二进制、无外联依赖、离线可用。

开源版和商业版的功能差在哪？

平台功能一致，没有「解锁开关」。差异在三处：一是知识资产，订阅期内规则库与威胁情报按月更新、定位库随季更新，开源版只随版本发布；二是服务承诺，商业版有 4 小时响应与部署协助；三是合规交付，等保模板解读与测评支撑只在商业版。订阅到期后平台照常运行、已有规则与数据不受影响，只是不再获得新规则与新情报。

部署与运维

部署需要什么环境？现有服务器够用吗？

一台 2 核 4G 的 Linux 服务器即可起步，amd64 与 arm64 都有镜像。可以用 Docker Compose 部署，也可以直接运行单个二进制文件。不需要 Elasticsearch、Kafka 或任何数据库；只有需要长期归档告警时才可选接入 PostgreSQL。日志量更大时的参考规格见部署方案。

能在完全离线的内网运行吗？

可以。镜像可以导出后拷贝进内网，也可以推送到私有仓库；关闭在线溯源后，由内置的 ip2region 与区划地名库提供城市级定位，地图与世界、中国省市边界数据都编译在二进制里。整个过程不需要任何外网校验。

升级会不会丢数据？出问题能回滚吗？

状态库按快照持久化，升级前可备份数据卷；镜像版本可在配置中固定，回滚只需切回上一个版本标签并恢复快照。新版本写入的快照旧版本可能拒绝读取，此时会把原文件改名保留而不是覆盖，因此按文档顺序操作即可安全回退。

单机能撑多大流量？

在 i7-10700（16 线程）的开发机上，端到端约 46 万条/秒，正常请求检测约 3µs/条。多数中小规模场景一台机器足够；日均超过 50 GB 时建议按数据源拆分多实例，再由统一入口聚合查看。

只想先分析一批历史日志，必须常驻部署吗？

不必。命令行提供 analyze 子命令，可以直接读取 access.log、.gz 归档或自定义格式的日志，输出 JSON 结论；加上 -listen 还能在分析完成后打开大屏。适合上线前试跑、事件复盘和一次性溯源。

检测效果与合规

我们的日志格式比较特殊，接不进来怎么办？

先看是否属于已支持的 40 余种格式，包括自定义的 nginx log_format 与标准 Syslog。若仍无法识别，在「数据源」页可以看到解析失败样例，把脱敏后的样本提交给我们，通常在两个工作日内补上适配规则。

告警会不会还是很多、很吵？

三层机制共同降噪：统一等级裁决，已拦截、请求失败、后端异常的命中最高只到高危；用响应基线与会话证据复核「表面成功」；误报抑制与自学习让重复误报的规则自动降级。实际效果取决于日志质量，建议在 POC 阶段用真实流量验证。

AI 会自动处置或自动改规则吗？

不会。AI 研判只输出建议与依据，结论写入事件处置记录供人参考；它不参与自动学习、不会触发封禁，也不会因为模型判断而改变威胁等级。系统还会统计模型结论与分析员实际结论的一致率，让可信度可衡量。

等保报告能直接用于正式测评吗？

报告基于平台可观测的技术证据，逐项给出符合 / 部分符合 / 不符合的判定与整改建议，适合日常自查与整改跟踪。它是自查工具，不能替代测评机构的正式测评结论；企业版可提供测评现场支撑。

14 / 联系我们

用一次演示，
换一套能落地的方案

30 分钟，我们会用你的日志样例跑一遍识别与研判，指出当前告警体系里最该先修的那一环，并给出部署架构与配置清单。演示环境自带模拟攻击日志，不需要你提前准备任何数据。

带上日志样例，当场看识别率与研判结果
按你的网络条件给出部署形态与规格建议
可申请 30 天全功能试用授权

更想先自己试？

开源版可以直接部署，遇到问题再来找我们。这条路径不需要留任何联系方式。