简介深信服PT1-SIP实验考试题库以SIP态势感知平台为核心面向参加深信服PT1认证考试或需要上手配置相关安全设备的工程师。内容系统整理了总部AF、AC、EDR、SIP01和SIP02等设备的端口类型、IP地址与管理密码并给出实验网络拓扑和设备接入关系便于备考者按照资料快速搭建实验环境。资源为单个doc文档容量约89.06MB内含操作步骤、界面说明和大量配置截图适合边看边操作。目前已有220人学习使用热度稳定。文档按实验流程展开覆盖SIP集群部署与主节点设置、新增节点、解除集群后接入总部AF/AC/EDR等关键环节详细说明安全日志开启、同步账号密码、双向认证和转发策略等配置要点同时针对SIP未显示AF数据等常见故障提供重启设备等排查思路并提示了新增节点会清除数据、集群部署后需取消维护模式等考试易错点。除基础对接外还包含联动封锁IP、告警访问控制等进阶实验可直接作为PT1-SIP考试的题库与操作手册。1. 一份实验题库文档为什么值得花一周去拆拿到“深信服PT1-SIP实验考试题库.doc”这份文件的人通常不是去背答案的而是被PT1认证里那场SIP实验考试卡过一轮的。它不像笔试那样考你“哪个端口对应哪个服务”而是给你一个动态拓扑、一台待配置的SIP平台、若干台已经产生异常流量的终端让你在规定时间内把威胁发现、分析、处置整条链路跑通。题库的价值本质是一张“操作顺序检查单”告诉你考场上那些看不见的踩分点分布在哪个环节、哪个按钮、哪条命令后面。适合读这篇的人是准备进深信服生态做安全交付的工程师、集成商新人以及那些拿到题库却不知道从哪里下手的自学者。我用一个反直觉的判断开头这份文档真正的用法不是“看”而是“拆”。SIP实验考试的判分依据不是文字答案而是你在图形界面和命令行里留下的操作痕迹别人整理好的题库只能帮你确认“操作顺序对不对”替不了你在模拟环境里亲手点一遍。2. 先分清“此SIP非彼SIP”再搞懂PT1实验考试的判分逻辑2.1 深信服SIP在产品体系里的定位它不是信令服务器而是安全智能平台第一次拿到这份题库的人很容易被“SIP”三个字母带偏。在安防领域SIP是海康、大华那套视频平台用来做信令对接的协议在通信领域SIP是VoIP的会话初始协议。网上搜“SIP信令服务器源码”“海康平台SIP对接配置”出来的结果和深信服PT1-SIP完全是两套东西。深信服SIP的全称是安全智能平台常和AF下一代防火墙、AC上网行为管理、超融合平台打包出现在等保和重保项目里。它的典型部署方式是旁路核心交换机上做端口镜像把流量复制一份交给SIP由SIP完成流量检测、威胁告警、失陷主机判定再通过联动接口把阻断指令下发给AF或直接生成ACL让交换机执行。所以你在实验里看到的SIP往往是一个挂在超融合平台上的虚拟化实例配好了管理地址但数据面还在等着你接入。理解这个定位很重要实验考试考的不是“SIP这个盒子怎么配”而是“你怎么让一套旁路检测系统在现有网络里真正跑起来”。很多考生把精力花在背界面上却忽略了流量从交换机到SIP这条数据链路才是整套实验的地基。2.2 PT1实验考试的形态与判分方式虚拟化环境、操作录屏、审计联动PT1认证里的实验考试一般不会让你在真机上操作。常见做法是给你一个预置好的虚拟化实验环境——考场用超融合平台拉起一台SIP虚拟机旁边放着模拟终端、模拟服务器、一台模拟交换机或AF设备。你的所有操作都会被录屏和审计评分系统或考官按“关键操作是否完成”“操作顺序是否合理”给分而不是看你最后Word文档里写了什么。这意味着三件事第一你只把界面截图保存下来没有用判分看的是过程痕迹。第二题库里“登录平台—配置日志源—写告警规则—生成报告”这类步骤顺序在考场上就是踩点顺序跳步会被记为漏项。第三实验环境会有动态变化题库里写的是“192.168.20.0/24 网段出现暴力破解”考场上可能换成另一个网段、另一台失陷主机。你把题库背得再熟到了考场仍然要面对一个新拓扑。所以PT1-SIP实验题库的正确打开方式是按照题目描述还原出一套“操作流程”而不是把答案抄在便签纸上带进考场。2.3 对象型题与过程型题的区别为什么背题库不如拆拓扑我把这份题库里的题目分成两类。对象型题问的是“某一个对象怎么配”比如新增一条日志源、修改一个告警阈值、把某个接口划入某个安全域。这类题有标准答案也最容易在题库里找到但它们通常只占分值的三分之一。过程型题问的是“一个安全事件你怎么处理”比如判定某台内网主机是否失陷、说明依据、给出处置建议并通过联动下发阻断。这类题没有唯一答案考的是你是否理解SIP的研判逻辑。我见过有人把题库里“阻断失陷主机”的答案背得一字不差到了考场发现失陷主机换了一台原来的IP段、告警类型全变了当场卡壳。我的建议是拿到题库第一遍通读时只做一件事——把每一道题改写成流程节点。什么环境下、登录哪个平台、先看哪个页面、操作点什么、用什么命令验证结果。这样到考场上你手里的题库就从“问答集”变成“拓扑图说明书”。3. 练熟三件事流量接入、日志源与告警策略实验题库的大头就在这里3.1 用镜像流量接入练熟SIP的数据面配置SIP是旁路部署它自己不会主动去抓包必须有人把流量送到它嘴边。这就是镜像流量接入也是实验题库里出现频率最高、翻车率也最高的一个环节。考场上给你的拓扑通常是一台核心交换机若干台业务终端SIP平台通过一个管理口连到交换机上而你需要在交换机上把业务端口的流量镜像到SIP所在端口。常见做法是登录交换机配置SPAN端口镜像。下面是一段示意命令不同厂商设备的命令集有差异但思路一致# 进入系统视图 system-view # 创建观察端口也叫镜像目的端口接SIP平台的网口 observe-port 1 interface GigabitEthernet0/0/24 # 进入业务端口也就是要镜像的源端口 interface GigabitEthernet0/0/1 # 将该端口的双向流量镜像到观察端口 port-mirroring to observe-port 1 both quit # 验证镜像配置是否生效 display observe-port这里的逻辑是源端口是业务终端所在的端口目的端口是SIP平台连接交换机的端口。both表示双向流量都复制一份既有终端发出的请求也有服务器返回的响应。我特别强调both这个参数是因为题库里有一道经典过程题配置完成后SIP平台能看到请求包却看不到回应包问原因。多数考生第一反应是SIP策略问题实际上就是镜像方向只配了inbound。SIP做威胁检测时很多攻击特征要从响应包的状态码、报文字段里提取只镜像单向流量等于让SIP瞎了一只眼。这里有一个通用的验证技巧在交换机上执行display observe-port查看流量统计如果统计在增长说明数据面通了。之后再到SIP平台上查看“实时会话”或“原始日志”只要能看到TCP握手报文就说明镜像链路完整。3.2 日志源接入先分清采集器与平台的关系流量镜像接好之后SIP能“看见”流量但不一定知道这些流量是谁产生的。要让检测结果和资产对应起来还需要接入日志源。实验题库里常见的日志源有三类网络设备日志交换机、防火墙的Syslog、服务器日志Windows/Linux主机、安全设备日志AF、AC。在SIP平台上配置日志源时核心参数就这几项参数项常见值说明日志源名称按资产命名如“core-switch”后续告警里会显示这个名字别用默认名日志源类型Syslog / SNMP Trap / API按设备实际支持的协议选日志源IP设备管理地址和镜像流量里的真实IP要一致不能写错协议端口UDP 514Syslog常用注意有些设备默认用TCP 514日志等级Informational 或 Notice等级设太高会漏掉关键登录日志这里有一个新手常踩的点SIP平台界面里填写日志源和采集器地址很多人只填了IP就保存结果SIP根本收不到日志。常见做法是SIP平台上会有一个“采集器”或“日志接收”设置你得先确认采集器监听端口处于运行状态再在设备侧把日志指向这个端口。两端配置缺一不可和防火墙放行一个道理。我一般会在配置完日志源后回到“日志检索”页面搜一下该日志源IP看有没有新日志进来。有进来才说明日志源接入成功没有多半是设备侧没指对IP或端口。3.3 告警策略为什么要按“检测引擎—规则阈值”两层配置流量通了、日志也进来了下一步是让SIP按你的预期产生告警。题库里最常见的高频题就是“为内网某网段配置暴力破解检测并设置阈值”或“配置一条针对勒索病毒通信特征的告警规则”。这类题考察的不仅是你会不会点“新建策略”而是你理不理解SIP的检测逻辑。绝大多数SIP产品的检测都分两层第一层是检测引擎决定你要检测什么类型的行为比如暴力破解、木马通信、横向渗透第二层是规则阈值决定什么样的行为算“出了问题”。暴力破解引擎打开后默认成功率阈值往往是“同一来源IP在5分钟内失败登录超过10次”但实验题库通常会要求你“根据业务情况调整”。我把调整阈值时需要考虑的参数整理成了一张小表参数作用实验环境建议检测时间窗口统计周期如1分钟/5分钟/30分钟实验环境流量小用短窗口出效果快触发次数窗口内失败次数达到多少则告警可设5次方便构造事件后快速验证来源IP白名单跳过特定扫描器或运维IP如果实验里有跳板机建议先加白目的端口范围限定检测端口集只保留内网业务端口减少误报注意SIP平台的规则引擎里有“告警”和“事件”两个概念事件是原始检测结果告警是关联分析后产生的向上汇报。考试时要求看到告警你需要确认规则关联的告警策略已启用否则检测引擎命中了也只是躺在“事件”里不产生告警。这一步是纯界面操作但特别容易被忽略。我的习惯是配完规则后去看一眼“策略中心—告警策略”里对应条目是否处于启用状态而不是只在检测策略里点保存。4. 把“发现告警”走到“处置闭环”查失陷主机要动哪几个开关4.1 告警研判的三看时间线、会话对、匹配规则到这一步SIP平台上已经能看到告警了。但实验考试很少停在“弹出告警”这个节点它通常还会给你一道过程题根据告警判断某台主机是否失陷并说明理由。这就是从“看见”到“看懂”的转变。SIP平台的告警详情页一般会有三个核心区块告警时间线、会话对、命中规则。我把它叫“研判三看”。第一看时间线。确认告警发生的时间是否和平台当前时间一致。很多实验环境里SIP虚拟机和终端之间没有做时间同步可能出现告警时间早于或晚于当前时间时间线错乱会直接影响你对攻击链的判断。第二看会话对。也就是源IP、目的IP、源端口、目的端口。比如内网主机持续向一个境外IP的445端口发起连接而该主机本身不是文件服务器这本身就是强异常信号。我在题库里见过不少把“服务器主动外连”误判成“正常业务”的考生根源都是只看告警标题、不看会话对。第三看命中规则。SIP平台会把命中的检测引擎、规则名称、置信度等级展示出来。这一项要特别关注置信度和攻击链阶段——如果SIP把事件标注为“高危”“横向扩散”说明规则引擎认为这不是孤立事件。我一般会把“三看”的结果串成一句话写进处置备注例如“内网主机10.10.10.15在10分钟内对5台服务器发起SSH暴力破解命中规则‘SSH暴力破解’失败次数超过阈值判定为失陷主机。”这句话既要写给评分系统看也要写给自己看——它就是你后续操作的理由。4.2 AF联动阻断与交换机ACL两条不同的处置路径判定失陷后实验考试通常要求你把处置动作落地。这里会出现两条处置路径一条是通过SIP与AF联动下发阻断策略另一条是在交换机上直接下发ACL。两条路径考试都可能覆盖。先看AF联动。常见做法是在AF上开启联动接口并在SIP侧配置AF的管理IP和认证账号然后通过“联动策略”下发阻断。下面是一段AF联动接口的CLI示意用意是帮你理解底层动作# 提示如下为设备命令行示意现网版本命令有差异实验以图形界面为准 # 进入AF的管理接口配置 webui switch network-interface mgt0 role manage # 开启与SIP平台通信的API服务 webui security-service api-service enable # 创建一条针对失陷主机的阻断策略 webui security-policy name block-host webui action drop webui src-ip 10.10.10.15 webui dst-ip any webui commit图中命令的逻辑是先保证AF有管理接口能收到SIP的联动请求再创建一条源IP为失陷主机、动作为丢弃的安全策略。考试时你用图形界面完成相同操作即可但心里要清楚底层是这三步。另一条路径是在交换机上配置ACL把失陷主机的流量在接入层直接丢掉。这类题会顺带考察你“深信服交换机配置命令”或者国产交换机的ACL语法。我见过最稳的做法是先查SIP上告警里的失陷主机IP再在交换机上写一条拒绝该IP访问内网网段的ACL最后在交换机接口上应用ACL并display acl验证。两条路径的差别要分清AF联动是“应用层阻断”可以识别应用和用户交换机ACL是“网络层阻断”简单粗暴但生效快。实验考试里两者都能得分区别在于你能否验证阻断生效——我建议养成习惯下发后都回到SIP的“实时会话”里看是否有该IP的新流量看不到新流量才算闭环。4.3 处置归档与汇报实验考试最后一步最容易丢分的地方很多考生把处置动作做完就以为结束了实际上SIP实验考试里还有一道必考的“归档题”生成一份安全事件报告。SIP平台内置了报表中心你需要选择时间范围、勾选告警事件、生成PDF或HTML报告。这一步分值不高却是典型的“操作踩点”项目不做直接扣分。生成报告时有一点容易翻车报告模板里的“事件摘要”和“处置建议”字段在实验环境里经常是空的需要你手动填写。我之前遇到过考生生成了报告但没填处置建议被考官追问“你的处置结论是什么”一时答不上来。所以我的做法是在生成报告前先把研判结论和处置动作填进报告模板再重新生成。这里顺带说一句终端准入系统的联动场景在一些实验版本里会和白名单机制冲突如果SIP联动阻断的目标主机同时又在终端准入系统的允许列表里设备会再次放行该主机流量导致“阻断后短时间内流量复现”。如果你在验证时看到这种现象先查准入策略再去查SIP联动策略不要对着AF反复改策略。5. 避坑清单SIP实验考试最常见的5个翻车现场与排查方式5.1 现象一SIP平台上显示接口在线却看不到任何流量这是镜像流量配置环节最容易出现的求助帖交换机端口UPSIP管理口能Ping通但“流量监控”里一片空白。原因是镜像方向或镜像源端口配置不正确。很多考生在配置SPAN时只选了“inbound”方向导致SIP只能看到请求包看不到响应包流量统计看起来很惨淡。另一种情况是镜像源端口写错——业务主机连的是交换机的5口你却把镜像源配成了6口自然没有流量。解决方法是在交换机上执行display observe-port查看镜像源端口和方向配置再在SIP平台的“实时会话”里按源MAC或IP过滤一次。如果实时会话为空基本可以断定交换机侧镜像配置有问题优先检查方向是否both再确认接口编号有没有抄错。5.2 现象二告警时间线和当前时间对不上研判结论被带偏考场上发现告警列表里的事件时间比当前时间慢了两小时或者事件时间在未来这不是SIP出Bug而是平台和各设备的系统时间没统一。实验环境下SIP虚拟机的时钟可能停在模板创建时间终端设备用的却是真实时间。原因是NTP时间同步没有配置或配置后未生效。SIP平台、交换机、AF、日志源设备各自拿着不同的时间在跑关联分析出来的攻击链顺序就会错乱比如“先看到横向扩散后看到入侵入口”题目就没法判断了。解决方法是进场后先把时间同步做掉。在SIP平台的管理界面配置NTP服务器地址指向考场提供的NTP或直接用控制中心的时间同时到交换机、AF上检查是否启用了NTP客户端。做完后回到告警列表刷新一次确认时间线归位再开始研判。5.3 现象三超融合平台上的SIP虚拟机收不到镜像流量但交换机端已经显示统计这种翻车常见于虚拟化实验环境你在交换机上配好了SPAN流量也已经到了宿主机网卡但SIP虚拟机内部就是收不到包。如果是真机部署这步早就通了一旦搬到超融合或桌面云平台上问题就出在虚拟网络层。原因是虚拟网卡的混杂模式没有开启。交换机的镜像流量进入宿主机后虚拟交换机要把目标MAC不是本机的数据包也转发给SIP虚拟机默认策略会丢弃这类包。很多实验环境为了安全默认关闭混杂模式考场上不会有人替你提前打开。解决方法是登录超融合管理平台找到SIP虚拟机所在的虚拟网络开启端口混杂模式或把镜像流量转发方式改为“全部接收”。改完后重启SIP虚拟机的网卡生效。这个坑在题库里不显眼但每年都有考生在这里耗掉半小时。5.4 现象四联动策略配置正确但阻断指令下发失败AF联动配置完成后点击“下发阻断”一直报错或者显示成功但实际没有阻断效果。原因是多方面的最常见的是两类。第一类是AF上的联动接口区域策略限制AF的管理口默认只允许来自特定安全域的流量访问API服务SIP平台和AF管理口不在同一个域联动请求被AF自己的安全策略拦掉了。第二类是账号权限不足实验环境里给了你一个只读账号你拿它登录AF配置联动操作界面能打开但提交动作被拒绝。解决方法是先检查AF的管理接口上是否放行了来自SIP平台IP的HTTPS/API流量再确认联动账号是否具备“策略配置”或“管理员”权限。顺带提醒如果实验环境里开着终端准入系统还要确认准入策略没有把SIP列为非法设备否则联动请求会被中间设备截断。5.5 现象五题库背得滚瓜烂熟遇到实际实验题还是翻车这一条不算技术配置但我见过太多人栽在这里。题库里写的是“192.168.20.15是失陷主机”到了考场拓扑里这台主机的IP变成了192.168.30.88题库里要求“把日志源接入SIP”到了考场变成了“把AF日志接入SIP”。考生按记忆里的IP去填自然找不到对象。原因是把题库当成了标准答案而不是操作流程模板。实验考试是动态生成的环境资产IP、网段、主机名都可能变化唯一不变的是操作链条确认拓扑—接入流量—配置日志—调策略—看告警—处置—归档。解决方法是练习时有意给自己换参数把题库里的IP换掉、把主机名改掉按新的变量重新做一遍操作直到不看题库也能独立完成整套流程。题库的价值是流程树不是坐标点。6. 把题库还原成“操作小卡片”考前一周最稳妥的练法考前一周我不会再把整份题库从头翻一遍而是把每一道实验题改写成一张“操作小卡片”每张卡片只记三块内容。第一块是前置条件。这道题开始时网络环境应该处于什么状态哪些设备已经配置完成。比如“镜像流量接入”这道题前置条件就是SIP平台已部署、管理口可Ping通、交换机已登录。只满足这三个条件你才具备做题前提。第二块是操作顺序。用“动词对象”的格式写比如“在交换机上新建观察端口”—“在业务口上应用镜像”—“在SIP上查看实时会话”。每条顺序后面用括号标注验证点验证不过就说明上一步有问题不要往下走。第三块是验证命令。我习惯把每道题结束时确认成败的命令汇总成一个短清单# 确认交换机镜像流量有统计 display observe-port # 确认SIP平台API服务存活 curl -k https://SIP平台管理IP/rest/v2/login # 确认AF联动策略已提交 display security-policy name block-host # 确认告警事件已落库在SIP平台的告警检索页按时间过滤 # 查看“实时会话”确认失陷主机已无新流量这套操作小卡片的核心逻辑是把“背题库”转换成“练流程”。你不需要记住每一题的答案只需要让手和眼记住每一步操作在界面上的位置以及每一步做完之后界面应该长什么样。我自己考PT1-SIP那次最冤的一步就栽在镜像方向只配了inboundSIP上死活看不到回包考前没练过这个场景考场上一慌就开始乱翻配置最后在“实时会话”里看到零数据才意识到方向配反了。后来我把这个错误写进自己的小卡片成了每次练习必查的第一项。PT1本身是入门级认证但SIP这套“流量接入—日志接入—告警研判—联动处置”的链路在你后面做等保测评、重保值守、攻防演练时还会反复用到。把这份题库拆成流程练熟收获的不只是一张证书而是你在现网拿到一套SIP设备时敢独立开局的底气。希望帮到你。本文还有配套的精品资源点击获取