每款产品所运行的设备
源自结构的安全
| 层级 | 作用 |
|---|---|
| 物理隔离 | 设备内部的开关一次只接通一个网络，在接通另一个之前完全断开前一个。每次启动时先断开一切，断开状态由开关自身的反馈证明，而不是由某条命令已经执行来证明。 |
| 可信启动 | UEFI Secure Boot、度量到 TPM 2.0 芯片中的启动过程，以及用 dm-verity 逐块校验的只读系统。启动链只构建一次，每台设备都相同。 |
| 静态数据 | 从第一次启动起就用 LUKS2 和 AES-256-XTS 加密。密钥只释放给经厂商签名的启动，恢复密钥只向执行部署的人员显示一次。 |
| 隔离检查 | 打开文件的程序和检查引擎运行在无 root 容器中，配有 AppArmor、seccomp，无网络、只读根目录并限制资源。任何故障都会让文件被拦下，而不是放行。 |
| 密码学 | 基于 P-256 和 SHA-256 的 ECDSA 签名，只用 TLS 1.3，AES-256-GCM，密码使用 Argon2id。从不使用 MD5、SHA-1、3DES、RC4 以及 TLS 1.2 或更早版本。 |
| 身份与审计 | 一个密码，高风险操作时会再次询问；没有隐藏的厂商账户或密钥。审计记录只能追加，并且防篡改。 |
设备上的智能
Bardin Gate 不只是执行规则：它理解跨越的是什么。下面的一切都在设备本身上离线运行，服务于边界，从不绕过边界。
| 能力 | 作用 |
|---|---|
| 内容理解 | 每个文件都按其真实字节来判断，而不是按文件名或发送方的说法：真实类型、宏和脚本等隐藏的活动内容、危险的压缩包，以及敏感数据。 |
| AI 检查 | 设备上的 AI 模型审视固定规则放过的内容，拦下看起来恶意或不合常理的文件。它可以扣住文件，但永远不能放行文件。 |
| 异常检测 | 设备学习每条数据流的正常模式，包括数量、时间、文件类型和来源；当某次跨越偏离这一模式时，在控制台和您的 SIEM 中发出告警。 |
| 策略助手 | 管理员用平常的话描述应当跨越什么，助手据此起草规则和策略。在有人审核并批准之前，什么都不会生效；批准后作为一个新的、经审计的版本生效。 |
| 有理由的决定 | 每个结果都连同其依据，以及产生它的每条规则、每个引擎和模型的版本一起记录。 |
模型遵守的规则
- 在设备上，离线运行. 模型运行在设备隔离的检查环境中，没有网络，也不依赖任何外部服务。
- 提供依据，从不做最终裁决. 由人或您批准的策略来决定；模型为这一决定补充依据。
- 对发送方保持沉默. 它的发现从不返回文件来源的那一侧。
- 有据可查. 每条发现都连同模型版本记入审计记录。
- 像特征库一样更新. 新模型经签名并离线送达，放在从不改变软件的纯数据包中。
身份与访问
- 设备是唯一的权威. 浏览器、导入的文件以及其他一切只带来声明；它们都不能授予权限。
- 默认拒绝. 角色具有明确的范围，没有写明的权限就是拒绝。
- 密码，再次输入密码. 角色、安全策略、许可证和更新导入、时间校正、恢复以及配置导入都会再次要求输入密码。
- 没有后门. 没有厂商主密码、隐藏账户、邮件重置或未经审计的绕行。恢复最后一名管理员是在设备旁进行的物理流程。
- SSH 只能到达一个受限的支持账户. 它只返回报告、日志和状态，别无其他。root 不能通过 SSH 登录，也没有日常 shell 或对数据库的直接访问。
审计与 SIEM
| 属性 | 取值 |
|---|---|
| 防篡改 | 每个事件都链接到前一个事件的哈希；每满 10000 个事件或每过一小时关闭一个分段，并对其检查点签名。 |
| 记录内容 | 所有与安全、管理和关键业务相关的尝试及结果，包括被拒绝的高风险操作。 |
| 可信时间 | 由设备自身离线维护；时钟异常不能延长许可证或保留期限。 |
| SIEM | 单向导出结构化事件：默认 TCP over TLS，可选双向 TLS，RFC 5424 JSON 或 CEF，地址经过假名化。 |
| 从不导出 | 文件内容、凭据、令牌和私钥。 |
您得到什么，需要提供什么
| 项目 | 含义 |
|---|---|
| 设备 | 一台 2U 机架式设备，交付即可使用。无需选择或安装服务器、操作系统或额外软件。 |
| 空间与电源 | 标准机架中 2U 的空间，以及电源。 |
| 网络 | 连接安全网络、非安全网络和管理网络。前两者彼此从不相连。 |
| 日常使用 | 只需一个浏览器。控制台支持十四种语言，包括中文。 |
| 互联网 | 不需要。许可证、更新和病毒特征库都经过签名并离线送达。 |
四步投入运行
上架
安装设备，接上电源以及安全、非安全和管理网络。
打开控制台
在浏览器中打开。设备自身显示屏上的代码证明您就站在设备旁。
按引导完成部署
各步骤按顺序进行，每一步都会自检：硬件、时间、网络地址和第一位管理员。
验收
取得经签名的部署证明。设备即可投入工作。
不会让您陷入困境的更新
- 软件包经过签名并离线安装. 没有有效签名或比已安装版本更旧的软件包会被拒绝。
- 两个分区. 更新写入另一个分区，先试运行一次，只有健康检查通过才会保留；否则设备会自动回退到上一个版本。
- 数据与软件分离. 病毒特征库、AI 模型、规则和校验模式以纯数据包的形式送达，从不改变软件。
自我修复与恢复
我们默认设备身边没有人，因此它会自我修复。它没有键盘、屏幕会话或日常 shell，任何恢复路径都不需要接触故障设备。
| 情况 | 正确的做法 |
|---|---|
| 软件不再健康 | 软重置让它回到最后一次已知良好状态；身份、配置、日志和审计都会保留。 |
| 一块硬盘故障 | 按照操作手册更换；卷保持健康或可恢复。 |
| 电源或风扇 | 在维护中按厂商流程处理，然后进行就绪检查。 |
| 主板或安全芯片 | 设备会在设备旁要求输入一次恢复密钥，并保留其身份、配置和许可证。 |
| 整台设备丢失 | 替换：重新部署、导入配置、再次输入密钥。旧身份从不被克隆。 |