核心要点（TL;DR）
- 选型先看资产清点覆盖率，清点不全的Agent等于没有防护。
- 告警降噪比告警数量更重要，日均有效告警应控制在个位数。
- 内核兼容性决定稳定性，采购前必须在内核版本上实测。
- 离线与断网可用性关系到隔离网与灾备场景的兜底能力。
很多团队在采购主机安全产品时，习惯对着功能清单打勾：有没有病毒查杀、有没有漏洞扫描、有没有基线检查。等真正上线才发现，Agent 装不全、告警一天几百条没人看、内核一升级就宕机。问题不在功能缺失，而在几个被忽略的工程指标。本文面向要动手落地的运维和站长，给出签约前可实测的五个指标与具体命令，帮你在 POC 阶段就把坑排掉。
指标一：资产清点覆盖率，决定防护有没有盲区
主机安全的第一层能力不是拦截，而是“看得见”。进程、监听端口、容器、定时任务、内核模块，任何一项没被清点，策略就覆盖不到。
验证方法：在测试机启动一个临时进程与容器，观察控制台是否在 5 分钟内出现。
# 造一个测试进程与监听端口
nohup sleep 3600 &
python3 -m http.server 18080 &
# 起一个容器
docker run -d --name poc-test nginx:alpine
# 对照清点结果
ss -lntp | grep 18080
ps -ef | grep sleep要求厂商展示清点结果与上述命令输出的一致性。覆盖率低于 95%、容器与短生命周期进程漏报明显的产品，后续做入侵检测会持续漏事件。
指标二：告警降噪能力，决定这套系统能不能长期用
告警数量不等于安全能力。一个日均 300 条告警的主机安全平台，两周后基本会被运维静音，等于白买。
评估时要求厂商在测试环境开启全量规则运行一周，统计三个数：日均告警条数、误报占比、同一攻击链是否合并为一条事件。可接受的参考线是日均有效告警个位数到二十条以内。
- 看是否支持基于进程行为链的关联分析，而不是单条规则各自告警。
- 看白名单与基线能否按业务分组维护，而不是全局一刀切。
- 看告警是否带处置建议与原始命令行，减少二次排查成本。
指标三：内核与发行版兼容性，决定会不会把机器搞挂
主机安全 Agent 往往需要加载内核模块或使用 eBPF，兼容性不足会直接导致业务抖动。采购前必须在你真实使用的内核版本上实测。
# 记录当前内核与发行版
uname -r
cat /etc/os-release
# 安装 Agent 后观察内核日志
dmesg -T | tail -50
# 压测期间观察负载与丢包
top -b -n 1 | head -20
ping -c 100 127.0.0.1 | tail -3重点确认：是否支持你现网的内核小版本、是否支持容器宿主机与国产化发行版、升级内核后是否需要重装。把“支持内核列表”写进合同附件，比口头承诺可靠。
指标四：离线与断网可用性，隔离网场景的兜底
不少单位存在隔离网、灾备机房和临时断网环境。依赖云端鉴权或在线规则更新的产品，在断网后会直接失效甚至拖慢主机。
检查清单：
- 是否提供离线安装包与离线授权文件。
- 是否支持本地管理端，断网时告警仍可落盘与查询。
- 规则库能否通过离线包导入更新，更新周期多长。
- 断网状态下 Agent 的资源占用是否异常升高。
实测方式很简单：拔掉网线运行 24 小时，观察控制台数据是否完整、主机负载是否正常。
指标五：应急响应时效，工具之外的服务能力
主机被入侵时，真正救命的是响应速度。采购时要把响应等级与时限写进 SLA，而不是只听“7×24 小时支持”。
| 响应项 | 建议写入合同的指标 | 验证方式 |
|---|---|---|
| 高危事件响应 | 15 分钟内响应，2 小时内给处置建议 | POC 期间提交一次模拟工单计时 |
| 值班通道 | 提供电话与工单双通道 | 夜间实际拨测一次 |
| 复盘机制 | 季度告警复盘与规则调优 | 写入服务条款 |
在防护建议层面，可以关注具备主机入侵检测、资产清点与告警关联能力的方案，例如 AegisX 在主机侧提供的行为监控与事件聚合，能减少上述指标落地时的二次开发成本。
签约前的行动清单
- 用真实内核版本做一次安装与压测，记录 dmesg 与负载变化。
- 造进程、端口、容器，验证资产清点覆盖率是否达标。
- 全量规则跑一周，统计日均告警与误报比例。
- 断网 24 小时，验证离线可用与资源占用。
- 提交模拟工单，实测响应时效并写入 SLA。
把这五项做成打分表，POC 结果不达标的直接淘汰，比事后补救便宜得多。
常见问题（FAQ）
主机安全产品采购时，功能列表都差不多，怎么判断真实能力？
功能列表只能证明“有”，不能证明“有效”。建议在POC阶段用同一批测试机跑真实场景：上传一个无害的反弹Shell脚本看能否拦截，统计一周内的告警条数与误报比例，检查资产清点是否覆盖容器与临时进程。用数据对比，而不是听演示。
资产清点覆盖率为什么比漏洞扫描更重要？
资产清点是所有防护的前提。未纳管的进程、容器、临时端口不会被扫描，也不会被策略覆盖，等于防护盲区。采购时应要求厂商在测试环境给出清点结果与实际进程的比对，覆盖率低于95%就要谨慎。
告警太多运维看不过来，选型时怎么评估降噪能力？
重点看是否支持基于行为链的关联分析和白名单基线。可以要求厂商在测试环境开启全部规则运行一周，统计日均告警量和误报率，并演示如何把同一攻击链的多条告警合并为一条事件。日均有效告警超过20条基本不可运维。
隔离网环境能部署主机安全Agent吗？
可以，但要确认支持离线授权与本地管理端。采购前应要求提供离线安装包、离线规则更新包和本地控制台，并在断网环境实测安装与告警上报。依赖云端鉴权的产品在隔离网会直接失效，务必提前验证。
应急响应时效怎么在合同里约束？
把响应等级与时限写进SLA条款，例如高危事件15分钟内响应、2小时内给出处置建议，并要求提供值班电话与工单记录。同时约定季度演练与告警复盘机制，避免只买到“工具”而买不到“服务”。