我是一个软件工程师，在一家有20来个全职员工的公司，参与软件产品开发。

上大学的时候，我考了一个CISP-PTS证书。

老板看我有这个证书，就说“小D，你顺便负责一下公司的信息安全。”

刚入职的我，也不敢推脱，就硬着头皮接下老板的安排。

一开始我没啥思路，就去问AI：“我刚入职一家有20来个全职员工的IT公司，老板让我负责信息安全，我该怎么开展工作？”

AI回答了一堆。我让它给我简单概括一下，就是下面这样：

• 第一步：快速摸清家底（前1-2周）

• 第二步：制定务实策略（第3-4周）

• 第三步：落地执行，从小处着手（持续进行）

然后我想了想，我也没有工具啊。老板看上去也不像会让我花钱买产品。于是我继续问AI：“能给我推荐一些工具吗？不要钱的。”

又是一大篇。要点就是：

1. 漏洞扫描与管理：Nmap、OpenVAS/GVM、OWASP ZAP

2. 资产清点与监控：Lansweeper (免费版)、PRTG Network Monitor (免费版)

3. 安全意识与培训：OWASP Top 10、免费在线课程和文章

啥？居然连防火墙也没有？也没有IDS。

我继续说：我还需要防火墙和IDS。

• 免费防火墙(Firewall)：pfSense、Linux iptables/UFW

• 免费IDS：Snort、Suricata

AI同时还提醒我：“这些免费工具虽然很强大，但没有商业产品那么友好的界面和技术支持。你需要投入更多的时间去学习、配置和维护。”

它说得对。

懒得搜了，索性再问问它搭建方案。

“我打算用下面这些工具把公司的安全系统初步建立起来：

• Nmap

• OpenVAS/GVM

• OWASP ZAP

• Lansweeper (免费版)

• PRTG Network Monitor (免费版)

搞个免费的知识管理系统来放“OWASP Top 10、免费在线课程和文章”

• pfSense

• Snort

“帮我整理一份详细的方案。要有网络拓扑图，部署图，项目计划甘特图。”

AI相当顺从地给出了详细的方案。

知道你们不看，我让AI“简单概括一下，不要图，不超过300字。”

-----下面是AI概括-----

这个方案旨在用免费工具为你们公司搭建一套基础且实用的安全体系，分为三个阶段：

第一阶段：资产清点与基础防御

首先，用Lansweeper 清点公司所有设备，用 Nmap 摸清网络状况。然后，安装并配置 pfSense 作为公司的网络防火墙，它是第一道防线。同时，建立简单有效的数据备份机制，确保核心数据安全。

第二阶段：漏洞管理与监控

接下来，部署OpenVAS/GVM 和 OWASP ZAP 来定期扫描服务器和网站，发现并修复漏洞。用 PRTG 监控网络和服务器的运行状态，确保一切正常。此外，部署 Snort 入侵检测系统，通过分析网络流量来寻找潜在的攻击行为，及时发出警报。

第三阶段：常态化运营与提升

最后，将这些工作变成常态。定期进行漏洞扫描，分析监控数据。利用一个简单的知识管理系统，组织员工进行安全意识培训，让他们了解OWASP Top 10 等安全知识。通过持续学习和维护，逐步提升公司的整体安全水平。

这样你能在预算有限没有预算的情况下，系统性地建立起一套涵盖资产管理、漏洞发现、网络监控和入侵检测的全面安全体系。

-----AI概括结束-----

好了。今天先到这里。我去部署系统了。等我用起来，我再接着写。

详细的方案可查阅附件，附上了mermaid源代码。

附件下载：smb-sec-01.zip 

- End -