无需任何入站访问
受保护网络不发起任何外部模型调用
经签名的不可变测试胶囊
客户自控的执行，并配有审计追踪
安全环境为何需要不同的模型
受限网络在设计之初并未考虑那些需要入站访问、不受管控的模型调用或无治理自动化的工具。
- -受保护应用无法直接访问互联网
- -网络分段与零信任边界
- -特权访问管理与变更控制
- -数据防泄露与证据处理规则
- -为每个验证与修复步骤提供审计记录
- -飞地内部不发起任何不受管控的外部 AI 调用
Zof 安全飞地模型
情报与控制在策略允许的范围内运行;执行则始终位于客户边界内,处于传输网关之后。
智能平面
受治理的测试智能
在 Zof Cloud、私有云或本地运行，具体取决于您的策略对规划与生成的授权。
- -需求与工作流分析
- -System Graph 建模与风险优先级排序
- -测试生成与胶囊组装
- -在策略允许时进行修复规划
- -此平面不针对受保护应用执行任何测试
控制平面
由客户治理的审批
您的策略、签名和审计追踪决定哪些内容可在受保护环境中运行。
- -人工审批与基于角色的控制
- -加密签名与策略检查
- -胶囊版本管理与晋级
- -调度与证据路由
- -每项操作均有完整审计追踪
执行平面
位于您的边界之内
完全在客户自控的基础设施内运行。除非您批准外发，否则敏感数据始终留在内部。
- -本地浏览器、API 和桌面验证
- -本地截图、日志与视频录制
- -脱敏处理与本地证据包
- -可选的脱敏或仅元数据外发
- -运行时无需依赖外部模型调用
安全隔离区架构
智能与控制在受保护网段之外运行；执行与存证则通过已签名的胶囊和客户管控的运行器保留在网段内。
已批准的规划区域
智能平面
云、私有云或本地部署
控制平面
已签名的测试胶囊
客户传输边界
客户管控的网段
执行平面
隔离区网关
边缘运行器
目标应用
本地存证库
可选脱敏出站传输
已批准的规划区域
智能平面
云、私有云或本地部署
控制平面
已签名的测试胶囊
客户传输边界
客户管控的网段
执行平面
隔离区网关
边缘运行器
目标应用
本地存证库
可选脱敏出站传输
飞地式执行架构
采用分段式基础设施,规划可在经审批的区域中进行,而执行与证据始终保留在客户管控的边界内。
安全隔离区执行
分段执行，配以已签名胶囊传输。
客户管控的执行边界
由你定义运行器的部署位置、可访问的对象,以及制品如何离开该网段。
- -执行平面始终位于你的边界之内
- -敏感运行时数据无需进入外部 SaaS
- -可选的仅元数据摘要,供中心化仪表板使用
- -按环境划分的证据与保留策略
- -用于审计的运行器允许列表与身份标识
- -与现有的分段及零信任模型相集成
签名测试胶囊
不可变、带版本且经审批的封装包,而非临时脚本。受限的清单精确定义了允许运行的内容。
测试胶囊生命周期
从受治理的生成，到经签名、批准的执行，每一步都有版本记录且可审计。
飞地网关
在不开放入站访问的前提下,验证签名、强制执行策略、暂存胶囊、记录每一项操作,并触发边缘运行器。
PAM 凭据流转
凭据在执行时代发，Zof Cloud 中不存储长期有效的密钥。
本地边缘运行器
由客户部署的执行单元,在受保护网络内部本地运行测试、采集证据、执行脱敏并生成报告。
边缘运行器执行流程
已签名的胶囊经网关策略流转至本地执行与存证采集环节。
分段式基础设施支持
按 VLAN、DMZ、OT 区域或业务单元部署网关与运行器,并配以与风险相匹配的策略。
- -按网段划分的胶囊晋升规则
- -优先在风险最高的区域开展稳健试点
- -覆盖 DMZ 与仅限内部的应用
- -通过边缘运行器覆盖制造与分支网络
- -隔离网段中的 SOC 与管理工具
- -在安全架构获批后再行扩展
受控的遥测外发
遥测与证据仅通过你批准的路径离开,且事先完成脱敏处理。
遥测流
从运行器采集到可选的受控出站传输。
证据与外发控制
由你决定证据如何离开执行平面,乃至是否离开。
存证流转模式
选择验证存证离开执行平面的方式。
仅限本地
所有截图、日志、视频和报告均保留在您的环境内。无任何出站传输。
脱敏出站传输
经批准的字段和工件在离开执行平面前先经过脱敏策略处理。
仅元数据
为集中式仪表板共享通过/失败摘要和非敏感元数据，不含原始应用数据。
企业级审批工作流
在影响生产之前,由人工授权对胶囊晋升与受治理修复进行把关。
修复审批工作流
从检测到验证修复的受治理路径。
受监管环境示例
针对金融服务、医疗管理与公共部门分段的代表性模式,并非客户背书。
- -核心银行与支付处理网段
- -具有 PHI 边界的医疗管理系统
- -DMZ 架构中的身份与信任平台
- -在边缘进行的制造 OT 邻近验证
- -SOC VLAN 中的安全运营工具
- -请参阅部署中心场景了解匿名化模型
契合你的运营模式
从标准云到气隙隔离的本地部署,采用相同的受治理胶囊模型,仅在各平面的部署位置上有所不同。
| 部署模式 | AI 规划运行位置 | 执行运行位置 | 互联网需求 | 数据出站模式 | 理想适用场景 | 销售模式 | 定价 |
|---|---|---|---|---|---|---|---|
| Zof Cloud | Zof Cloud | Zof 托管运行器或客户运行器 | 标准出站连接 | 由客户配置 | 云原生团队、低摩擦试点 | 从自助服务到企业级 | 公开套餐 + 企业版 |
| Zof Private Cloud | 专属私有云 | 客户管控的运行器 | 策略管控的出站连接 | 本地优先；可选经批准的出站传输 | 受监管行业、数据驻留要求 | 企业销售 | 定制方案，请联系销售 |
| Zof Hybrid Enclave | 云或私有云 | 隔离区网关 + 边缘运行器 | 受保护网段内无需联网 | 默认仅限本地；可选脱敏处理 | 银行、保险、仅限内部使用的应用 | 安全部署方案沟通会 | 定制方案，请联系销售 |
| Zof On-Prem Control Plane | 客户数据中心 | 客户管理的运行器 | 可选 / 支持气隙环境 | 通常仅限本地 | 无互联网、严格数据驻留、内部治理 | 需进行架构评审 | 定制方案，请联系销售 |
| Zof Local Edge Runner | 配对的控制平面 | 分支机构、工厂、边缘站点 | 执行无需联网 | 本地存证；可选同步 | 分布式站点、分段网络 | 企业部署的附加组件 | 定制方案，请联系销售 |
| 客户 VPC / VNet | 云或私有云 | 客户 VPC 内的运行器 | 通常仅出站连接 | 本地优先；策略管控 | 部署在您云账户中的企业级 SaaS | 架构评审 | 定制方案，请联系销售 |
| 私有 Kubernetes 执行环境 | 客户批准的控制平面 | 客户管理的集群代理 | 策略管控 | 命名空间范围内的存证 | 拥有现有 K8s 基础设施的平台团队 | 架构评审 | 定制方案，请联系销售 |
| 终端代理 | 配对的控制平面 | 桌面 / VDI / 遗留界面 | 通常需出站注册 | 本地采集；可选脱敏处理 | ERP、Citrix、内部桌面应用 | 企业部署 | 定制方案，请联系销售 |
安全部署的定价取决于部署模式、规模占用和实施范围。 查看企业部署定价
为安全审查而设计
提供你的安全与风险团队所期望的各项控制,且绝不宣称我们尚未取得的认证。
- SSO/SAML/OIDC 与基于角色的访问控制
- 签名运行器与执行允许列表
- 针对胶囊、运行与审批的审计记录
- 执行时与 PAM 兼容的凭据代理分发
- 可配置的脱敏与保留策略
- 受治理修复前需经人工审批
- 证据模式:仅本地、脱敏或仅元数据
- 专为支持银行自主管控的执行模型而设计
安全部署评审清单
请与您的安全、风险和基础设施团队一起使用此清单。本清单旨在支持而非取代您的内部评审流程。
架构评审
记录智能、控制和执行平面相对于网络分段的布局。
数据流评审
梳理所创建、存储和传输的数据，包括证据及可选的出站传输路径。
运行器签名
验证运行器二进制文件、签名密钥以及执行主机的允许列表。
PAM 模型
确认执行时特权凭据的集成方式。
DLP 与脱敏
为本地证据定义字段掩码、截图策略及保留期限。
审计追踪
验证胶囊晋级、运行、审批及管理操作的日志记录。
RBAC 与 SSO
将 Zof 角色与企业身份及最小权限访问对齐。
部署模式选择
根据分段需求选择云、私有云、混合隔离区、本地部署或边缘模式。
证据存储
定义构件的存放位置、保留时长以及可访问人员。
出站控制
按环境选择仅限本地、已清理或仅限元数据模式。
支持访问模型
记录 Zof 人员可在何时、依据何种审批工作流访问系统。
试点与推广计划
定义稳健的试点范围、成功标准以及生产扩展关卡。
安全部署相关问题
面向安全、基础设施与采购审查人员的解答。
