安全厂商 L1-L7
「安全厂商」这一组共 6 家厂商 / 机构，每一家都按 L1～L7 分层整理：那一层它卖什么、哪一层是它的主场。
Palo Alto
主场：L4 / L7
L1 物理层
先如实说明这一层的性质：Palo Alto 是纯安全厂商，不做交换机、无线 AP、光传输、PoE 供电或时钟同步产品，所以这里没有网络厂商那种物理层产品矩阵。它在物理层的真实内容只有三块——防火墙设备的硬件形态与端口配置、光模块的支持与采购策略、以及串接部署特有的物理旁路与失效模式。第三块虽然条目不多但工程价值最高：安全设备串在业务路径上，设备故障或重启时链路是断开还是直通，直接决定它是防护点还是单点故障，这个决策必须在上架前做完而不是出事后补。
L2 数据链路层
这一层的核心不是交换能力（Palo Alto 没有交换机产品），而是「防火墙怎么插进现有网络」——这是部署阶段最关键的决策之一。PAN-OS 提供四种部署模式：三层模式（设备参与路由，最常见）、二层模式、虚拟线（vwire，透明串接、不改变现有拓扑）与 TAP 模式（旁路观察、零风险）。虚拟线与 TAP 是这层最有实用价值的两个能力：vwire 让防火墙像一根「带检查功能的网线」插入而无需重新规划 IP，TAP 让新环境能先观察再拦截。同时要理解它的二层行为限制：它不参与生成树、不做 MLAG、不承担接入交换职责。
L3 网络层
这是 Palo Alto 的核心层，也是它作为下一代防火墙市场领先者的立足点。这一层最关键的知识不是产品型号而是容量核算方法：厂商公布多个吞吐数字（防火墙吞吐、App-ID 吞吐、威胁防护吞吐），选型必须用开启威胁防护后的数字，且真正的瓶颈往往是并发会话数与新建连接率而非 Gbps。它的路由能力定位要如实说明——够防火墙自用（静态、OSPF、BGP、多虚拟路由器、ECMP、策略转发），但不是路由器替代品：没有 MPLS、没有 BNG/CGNAT 级用户管理、路由规模与业务边缘能力远不及 MX 或 ASR 9000。形态上除物理机外还有 VM-Series 与 CN-Series，许可用 Credits 模型，理解这个模型对成本控制很重要。
L4 传输层
有状态检查是 Palo Alto 的立足能力，这一层的知识重心是会话生命周期与容量瓶颈。三件事最关键：会话表容量与新建连接率（CPS）是真正的瓶颈而非带宽；有状态检查要求来回流量经过同一台设备，非对称路由会导致会话被丢弃，这是多出口与双活场景最常见的故障；以及协议异常与逃逸防护（TCP 重组、分片处理）虽然免费但配置过严会误伤老旧应用。QoS 侧有一处差异化能力：可以按应用与用户限速而不只按端口。要如实说明的空白是没有 ADC 与负载均衡产品线，四层分发靠 ECMP 加第三方。
L5 会话层
这一层是 Palo Alto 的强项区域，也是它与纯网络厂商差别最大的地方。核心是 User-ID：把 IP 地址映射到具体用户与用户组，从而让策略能按人而非按 IP 编写——这是零信任分段的技术前提，也是 App-ID 之外的第二个差异化能力。远程接入有 GlobalProtect（客户端 + 门户/网关），云交付有 Prisma Access（PAN 的主力 SASE 产品，市场份额处于头部）。要如实说明的空白是准入：它没有 NAC，端口级准入仍需交换机加第三方 NAC，防火墙只负责身份到策略的映射。
L6 表示层
这一层是 Palo Alto 最核心也最有争议的能力所在：TLS 解密。今天绝大多数流量已加密，不解密就看不见加密流量里的威胁——威胁防护、URL 过滤、DLP 与沙箱几乎都依赖解密后的内容。但解密的代价是全方位的：性能上它是最耗资源的功能（吞吐通常减半以上），运维上要把 CA 证书分发到所有终端，兼容性上会与证书固定的应用冲突，法律上涉及员工隐私与合规约束。所以这一层的正确知识不是「怎么开解密」而是「解密什么、不解密什么、代价是什么」。另外要如实说明国密（SM2/SM3/SM4）基本无适配，涉及商密合规的项目属硬约束。
L7 应用层
这是 Palo Alto 内容最厚的一层，也是它作为下一代防火墙领先者的核心价值区。能力覆盖威胁防护（IPS、反恶意软件、反间谍）、WildFire 云沙箱、URL 过滤、DNS 安全、IoT 安全与企业 DLP。但这一层的关键知识有两条不那么好听的：一是所有这些能力都是独立订阅，叠加起来的三到五年订阅费用常常超过硬件本身，这是选它必须提前算清的成本结构；二是沙箱判定有时延、签名对已知威胁有效而对定向攻击有限，所以它不能替代终端侧检测，纵深防御仍是必要的。空白也很明确：无 WAF、无 CDN、无邮件安全、无 API 安全、无 APM——其中邮件是多数入侵的起点，这块必须全部外购。
跨层 · 管控与运营
这一层有两个重心。一是 Panorama：多设备环境里它基本是必需品，负责集中策略、模板与日志，但它自身的容量规划（尤其日志存储）常被低估，且设备组与模板栈的继承关系配错会导致「策略看起来对但没生效」。二是成本治理，这是 Palo Alto 最真实的痛点——它是高价定位的市场领导者，TCO 主体是订阅而非硬件，续订时还面临进阶档位升档，必须按「订阅 × 设备数 × 年数」系统核算。另外两条实践共识值得写进规范：PAN-OS 应跟随成熟维护版本而非追新特性版本；以及「同厂商」不等于「同控制台」——Cortex 与 Prisma Cloud 是相邻但独立的产品线，各有自己的管理界面。
Gigamon
主场：L4 / L7
L1 物理层
这一层回答一个很具体的问题：流量的副本从哪里来。 只有两个答案，而选哪个决定了后面所有层的可信度。一是物理分路器（TAP）：在光纤上做无源分光，把光功率按比例分给监控口——它不消耗交换机资源、不受设备负载影响、故障时链路不中断，代价是要动物理线路、要提前规划位置。二是交换机的镜像口（SPAN）：不用动线，但镜像是交换机的低优先级工作，设备繁忙时会静默丢包，而「你的采集在最需要它的时刻恰好丢包」是这类项目最隐蔽的失败方式（各设备厂商域 L2 都提供 SPAN，但都不会替你保证它不丢）。这一层的第二块内容是串接工具的旁路保护：一旦你把工具放进转发路径（例如串接式解密或入侵防御），工具就成了新的单点，必须有旁路机制在工具失效时把链路短接。
L2 数据链路层
这一层做的是「把散落的采集点收拢成一张网，并且让工具还能分辨流量是从哪儿来的」。 三块内容。汇聚与来源标识：把多个 TAP 与镜像口收进来之后会出现一个具体问题——报文混在一起，工具无法判断某个包来自哪条链路，解决办法是在入口给报文打上 VLAN 标签作为来源标记，这是采集网络设计里最实用的一个小技巧。二层过滤与映射规则：按 MAC、VLAN 与端口把流量分给不同工具，规则的匹配顺序与优先级决定了实际效果，规则写错的典型症状是「某个工具一直收不到流量」或者「所有工具都收到全量」。去重：多点采集必然重复——同一个报文在接入、汇聚、核心三处被采到就会有三份，去重直接决定工具侧的许可成本与处理负载，这是这类平台最容易量化收益的能力之一。
L3 网络层
这一层有这个域最招牌的一项能力，而它解决的问题是网络 overlay 化之后新出现的盲区。 现代数据中心普遍用 VXLAN 之类的封装做 overlay（见各设备厂商域 L2 的 EVPN-VXLAN），结果是你在骨干上采到的报文外面套了一层封装，绝大多数分析与安全工具只会解析最外层，看到的是隧道端点之间的通信，而不是真正的业务会话——工具没坏，是它看不懂。答案是报文头剥离：把 VXLAN、MPLS、GRE、ERSPAN、GTP 这些外层剥掉，把内层业务报文交给工具。**这一条是 overlay 时代采集网络的必备能力，也是「有 TAP 但工具还是没用」最常见的原因。
L4 传输层
这一层是采集网络里「把量降下来、把该在一起的放在一起」的地方，也是最容易做错的一层。 四块内容。四层过滤与自适应过滤：按端口和五元组分流是基础，而当标准字段不够用时（要按封装内层的字段、或按报文里任意位置的一段特征过滤），需要能在任意偏移上做模式匹配的能力。流感知负载均衡与会话亲和：单个工具端口装不下时要把流量分给多个工具，而任何有状态的工具都要求同一会话的双向落在同一个工具上——这一条在 L2 已经提过一半，这里是完整版。报文切片：把载荷截掉只留报文头，它同时是省钱手段和隐私控制手段——量能降一个数量级，而且载荷根本不离开采集网络。流采样：与报文采样有本质差别——报文采样会把每个会话都打成碎片，而流采样是「完整保留一部分会话」，分析价值完全不同。
L5 会话层
这一层解决一个五元组解决不了的问题：一个业务会话往往不是一条连接。 前面几层的分流全部建立在五元组之上（见 L4），而五元组识别的是「一条连接」——当一个业务会话由多条连接组成时，按五元组哈希会把它们分到不同的工具，于是每个工具都只看到会话的一部分。三类典型情况。移动网的订户会话：一个订户的控制面与用户面是分开的隧道，要分析这个订户的体验，必须把两者关联起来并送到同一个工具，这是运营商核心网可见性的核心命题，也是本站唯一涉及移动核心网采集的地方。信令与媒体分离的通信业务：语音视频的媒体端口是信令协商出来的，不解析信令就不知道媒体在哪个端口，而把信令和媒体送到两个工具等于两边都分析不了。控制连接与数据连接分离的协议：文件传输类协议与不少自研协议都是这个结构。
L6 表示层
这是这个域最厚也最需要小心的一层，因为它做的事是把加密流量变成明文。 三条技术路线，能力与前提完全不同。旁路解密：用服务器私钥被动解密采到的流量，它有一个决定性的限制——只在使用静态 RSA 密钥交换时有效，而一旦启用前向保密（现代配置的默认），或者对端用 TLS 1.3（强制前向保密），被动解密就彻底失效。这一条必须先讲，因为很多方案是基于过时的假设做的。串接解密：把设备放进转发路径做中间人，终结再重建加密连接，能力完整但代价是要在终端信任你的证书颁发机构、要面对证书固定的应用、并且成为链路上的单点（见 L1 的旁路保护）。
L7 应用层
这一层回答的是「买这套东西到底省了什么」，所以它也是整个域商业逻辑最集中的地方。 四块内容。应用元数据提取：从流量里抽出七层细节（域名、请求路径、状态码、DNS 问答、证书与握手属性等）并以结构化记录导出，关键价值是你能拿到七层细节而不必把报文送进分析平台——因为日志与安全分析平台普遍按接入数据量计费，报文与元数据的体积差着数量级，这一条常常是整个采集项目的投资回报来源。不解密也能拿到的东西：TLS 的服务器名、证书信息、加密套件与握手特征在加密流量里本来就是可见的，而在 L6 说过解密正变得越来越难（TLS 1.3 强制前向保密），所以基于元数据的判断不是退而求其次，而是很多场景下唯一可行的路线。
夸层 运维与治理
这一层是这个域最不能省的一层，理由和别的域不同：采集网络是整张网里价值最高的攻击目标。 它按设计就能看到所有流量，L6 之后手里还有明文，所以攻陷一台采集设备等于在全网装了一个窃听器——这不是夸张的说法，而是这一层所有治理要求的出发点。四块内容。集中管理与配置治理：规则库会随时间腐化（与各安全域的策略治理同源），而采集网络的规则腐化有它自己的症状——没人敢删的规则、不知道喂给谁的工具端口、以及「某个分支到底还有没有在用」。权限与访问治理：谁能建规则、谁能拿到工具端口、谁能看到明文分支，这三个问题的答案就是你的实际暴露面，应该按特权系统而不是按网络设备来管。
Zscaler
主场：L5 / L7
L1 物理层
该层为空，没有产品或服务。这个域是一批部署在第三方机房里的代理节点（见公司背景），但它不出售任何物理层产品——没有机房托管、没有交叉连接、没有硬件设备，节点本身的物理接入由它租用的机房方负责。「不拥有物理资产」正是它的产品主张本身，不是空白。
L2 数据链路层
该层为空，没有产品或服务。同 L1：它不建交换机、不管理 VLAN，二层网络由它租用的机房方负责。
L3 网络层
这一层是这个域真正的入口，而它有两个必须先讲清的东西：流量怎么送过去，以及送过去之后你的出口地址变成了谁。 第一件事有四种做法，而这个选择会影响后面所有层：终端客户端（跟着人走，漫游场景最好，代价是客户端覆盖率成为长期运维成本）、GRE 隧道（站点级，吞吐高但不加密，需要可信路径）、IPsec 隧道（站点级且加密，但单条隧道受加密性能限制有吞吐上限，规模上去要建多条做负载分担）、代理自动配置或显式代理（改动最小，但只覆盖浏览器与遵守配置的应用）。这四种不是优劣关系而是按「跟着人还是跟着站点」分的两类，多数真实部署是混用。**第二件事是这一层最容易被低估的后果：你的公网出口地址不再是你的，而是它节点的地址。
L4 传输层
这一层的机制核心是一句话：它是代理，所以你的一条连接在它那里变成了两段。 客户端到它的节点是一段，节点到目标是另一段——这两段有各自的地址、各自的超时、各自的拥塞控制。理解这一点能一次解释掉这个域四层上的绝大多数现象：出口地址为什么变了（见 L3）、为什么长连接会被中间断开、为什么大文件上传的行为和直连不一样、以及为什么某些协议根本过不去。第二块是云防火墙与四层策略，而它相对传统防火墙有一个实质差别值得单说：它的策略可以写成「谁能访问什么」而不是「哪个地址段能访问哪个地址段」——因为它知道是谁。**但这个优势有前提：身份从哪来。
L5 会话层
这一层是这个域最厚的一层，而它的核心机制值得先用一句话说清：连接器由内向外拨出，所以你的内网应用不再对外监听任何端口。 传统远程访问的做法是在边界上开一个入口等人来连（见各设备域与两个运营商域 L5 的接入类产品），而这里反过来——你在内网装一个连接器，它主动向外建立到最近节点的通道，用户的请求在节点侧与这条通道对接。由此得出这一层最重要的一条判断，而它不是关于连接方式的，是关于故障半径的：传统方式下用户凭据被盗，攻击者拿到的是一个网络立足点，可以扫描、可以横向移动；这里拿到的是那个用户被授权的那几个应用，扫不到别的东西，因为别的东西对他根本不存在。**这是这个架构真正的收益，也是「零信任」这个词在这里唯一具体的含义。
L6 表示层
这一层是这个域最重要也最有争议的一层，而它的命题是本站「X 不等于加密」这条线的第八个版本，方向与前七个相反：检查就意味着解密。 前七个版本讲的都是「你以为加密了，其实没有」——Megaport 域 L6 的「私网不等于加密」、Equinix 域 L6 的「物理隔离不等于加密」、AT&T 域 L6 的「MPLS 专网不等于加密」、Cloudflare 域 L6 的「浏览器有小锁不等于全程加密」、NTT 域 L6 的「专网不等于加密」、Akamai 域 L6 的「边缘终结意味着明文出现在边缘」、Zenlayer 域 L6 的「加速不等于加密」。**而这一个说的是：你的流量确实是加密的，但中间那个人手里有钥匙——而且钥匙是你自己给他的。
L7 应用层
这一层的头号内容不是功能清单，而是一个方向问题——因为它是这个品类最常被搞错的一点，而搞错的代价是买错东西。 它是内到外的：它保护你的人和你的工作负载往外访问互联网、SaaS 与你自己的内网应用。 它不是你网站的 WAF。 让陌生人从外面访问你的站点与接口、并在路径上防护与加速，那是本站两个边缘域的事（见 Cloudflare 域 L7、Akamai 域 L7）。这两件事被混淆得非常频繁，原因也很好理解：双方都有遍布全球的节点、都做 TLS 终结、都被叫做云安全、宣传材料里都有零信任这个词。判断方法只有一句话：看这次流量是谁发起的。 **是你的员工或你的工作负载发起的，属于这个域；是一个你不认识的人发起的，属于边缘域。
夸层 运维与治理
这一层是这个域最该认真读的一层，因为它集中了这个架构的全部代价，而第一条就是最重的：它挂了，你就断网。 传统模型下一台边缘设备故障影响一个站点，而在这个模型下，所有站点的所有流量都经过同一家供应商——它的故障直接表现为你全公司上不了网，而这类事故已经真实发生过若干次（见公司简介）。更要接受的一点是：你无法自己修复它，只能等——所以这一节的重点不是可用性数字，而是你有没有可执行的旁路预案，以及有没有演练过。六块内容。集中风险与旁路预案。可见性与日志：它给你的可见性确实是前所未有的（每个用户、每个请求），但有两条边界——东西向看不到、以及日志导出与留存要算成本；
Fortinet
主场：L1 / L5 / L7
L1 物理层
这是这个域的星标层之一：FortiGate 硬件平台与自研专用芯片。从入门级桌面型号（40F/60F/70F）到数据中心机箱（7000F），几乎全系列都搭载自研的 NP（网络处理器）与 CP（内容处理器）专用芯片——这与本站 F5 域的专用 SSL 加解密芯片是同一类工程思路，只是应用场景是防火墙转发与威胁检测，而不是负载均衡。这带来一个实际结果：同价位段的防火墙吞吐与开启威胁防护后的性能衰减，通常优于纯软件方案。
L2 数据链路层
FortiSwitch 是这个域在二层的落地产品——以太网交换机，本身可以独立管理，但真正的差异化是接入 Security Fabric 后由 FortiGate 集中管理（本站称为「Fabric 编织交换」），端口级的安全策略可以跟防火墙策略联动。这不是本站唯一有交换机产品的安全厂商模式，但需要如实指出：这类交换机的核心竞争力在于跟自家防火墙的联动，独立对比二层交换性能时并不是这个域的强项，选型应该看重的是生态整合，而不是单纯的交换芯吐量。
L3 网络层
FortiGate 本质上是一台可以做完整三层路由的设备——支持 OSPF、BGP 等动态路由协议，也是站点到站点 IPsec VPN 隧道最常见的落地场景之一。这一层的能力是 L5 Secure SD-WAN 的地基：SD-WAN 的路径选择要先有多条可用的 IPsec 隧道或路由路径，才能在这些路径之间做应用级的智能选路——如果把 L5 理解成「怎么选路」，L3 就是「先有哪些路可以选」。
L4 传输层
有状态防火墙检测是这个域最基础但也最核心的能力：FortiGate 为每一条 TCP/UDP 连接维护状态表，只允许匹配已知合法连接（或明确放行规则）的流量通过，这是防火墙区别于简单包过滤路由器的关键机制。这一层也承载基础的 L4 DDoS 防护（SYN flood 等连接层攻击的检测与限速），比 L7 的应用层威胁防护更底层、更早介入。
L5 会话层
这是这个域另一个星标层：Secure SD-WAN 内置在 FortiGate 里，不需要额外购买独立的 SD-WAN 设备或许可就能使用（多数竞争对手的 SD-WAN 是独立产品线，需要单独采购）。基于实时探测到的延迟、丢包、抖动数据，为不同应用动态选择最合适的出口路径（比如把语音流量分配到抖动最低的链路，把批量传输分配到带宽最大的链路）。本站在其他域（比如 F5、A10）讨论会话层能力时提到的会话保持、负载分担，跟这里的「按应用选路」是不同的会话层落地场景，但底层机制都属于会话层职责范围。
L6 表示层
这一层要如实记录一个不能回避的问题：这个域的 SSL-VPN 产品历史上多次被披露高危漏洞（部分曾被用于大规模攻击活动），官方已经明确建议客户迁移到 IPsec 或 ZTNA（零信任网络访问）模式替代 SSL-VPN 远程接入方式。这不是这家公司独有的问题——SSL-VPN 这类产品的攻击面一直是行业整体关注点，本站在评估任何厂商的远程接入方案时都应该主动核实是否已完成向更安全模式的迁移，而不是默认假设出厂配置就是当前最推荐的路线。IPsec 硬件加速则是这一层比较扎实的能力，专用芯片型号可以在不明显影响吞吐的情况下完成加解密。
L7 应用层
这是这个域第三个星标层：Security Fabric 生态下的订阅式安全产品组合，覆盖 IPS/AV/沙箱等 UTM/ATP 威胁防护订阅、FortiWeb（Web 应用防火墙）、FortiClient（终端防护与 ZTNA 客户端）、FortiSASE（云端交付的安全接入服务边缘）。这个域的核心打法是把这些产品统一纳入 Security Fabric 生态，让威胁情报和策略在防火墙、终端、Web 应用防护之间联动共享，而不是让客户拼凑多个互不通信的独立产品。
360安全
主场：L7
L1 物理层
该层为空，没有产品或服务。360 现在有把握确认的业务是消费级终端安全软件，不销售任何网络硬件（交换机、路由器等）。历史上曾有过消费级智能硬件尝试（如家用路由器、儿童手表等），但这些产品线的现状不确定，为避免编造现状，本站不在此处做具体断言。
L2 数据链路层
该层为空，没有产品或服务。同 L1：360 不销售网络硬件，也不提供二层协议层面的产品或服务。
L3 网络层
该层为空，没有产品或服务。同 L1、L2：360 的产品线不覆盖路由、IP 层网络设备或服务。
L4 传输层
该层为空，没有产品或服务。同上：360 不提供防火墙、负载均衡等传输层网络设备或服务——这类产品属于本站奇安信、深信服、绿盟等域覆盖的国产安全厂商范畴，不属于 360。
L5 会话层
该层为空，没有产品或服务。360 没有 VPN、SD-WAN 等会话层网络产品——它的安全软件工作在终端设备本地与应用层，不介入网络会话的建立与维护。
L6 表示层
该层为空，没有产品或服务。360 的安全浏览器会处理 HTTPS 页面的下载扫描与恶意网址拦截，但这些能力发生在应用层（浏览器本身的功能），不构成独立的加解密或表示层协议产品——因此如实标注为空，而不是勉强归类到这里。
L7 应用层
这是这个域唯一有实际产品的一层，也是它的全部重量所在：面向中国大陆消费者的免费终端安全软件生态——360安全卫士（系统安全与优化）、360杀毒（独立杀毒引擎）、360安全浏览器/360极速浏览器（内置恶意网址拦截与下载扫描的浏览器）、360手机卫士（Android 端安全应用）。这条产品线的历史意义是靠「永久免费」模式重塑了整个中国杀毒软件市场的商业模式，此后免费杀毒成为中国消费级市场的主流做法。需要如实说明的边界：360 的政企/政府安全业务已经拆分为独立上市公司奇安信（688561.SH），本域不涉及那条产品线；360 现在的核心业务是消费级、免费、终端应用层软件，不构成企业级网络安全设备的替代选项。
FireEye
主场：L4 / L7
L1 物理层
这一层内容很薄，讲的是 FireEye 品牌存在期间（2004–2021 年）的机架式检测设备形态：NX 系列（网络）、EX 系列（邮件）、HX 系列（终端）都是专用硬件设备，部署在数据中心机架中。这条硬件产品线在 2021 年随「FireEye Products」业务一起被出售给 Symphony Technology Group，后来并入 Trellix 品牌——今天如果需要同类硬件设备，落点是 Trellix，不是 FireEye。
L2 数据链路层
这一层讲的是 NX 系列历史上怎么插进已有网络：跟本站 Palo Alto 域的部署模式判断类似，NX 支持旁路观察模式（接收镜像/TAP 流量副本，只检测不阻断，零风险）与内联桥接模式（透明串接在流量路径上，检测到威胁可以直接阻断连接）。两种模式的取舍逻辑是一致的：新环境上线前先用旁路模式观察确认策略不会误报，再切换到内联模式获得阻断能力——这跟本站 Palo Alto 域 TAP/vwire 的实践路径是同一套逻辑，只是这里换成了威胁检测设备而不是防火墙。
L3 网络层
该层为空，没有产品或服务。NX 系列设备本身不提供流量聚合与分发产品——它依赖网络里已经存在的镜像端口、TAP 或本站 Gigamon 域这一类流量可见性基础设施把流量副本送到面前，这是部署这类检测设备的前提条件，不是这个域自己卖的产品。
L4 传输层
这是这个域历史上的星标层之一：NX 系列会跟踪 TCP/UDP 会话，识别被检测出的恶意软件回连指挥控制服务器（C2 回连）的连接行为特征，内联模式下可以直接切断这类连接。这跟单纯的签名匹配不同——回连行为分析看的是连接模式本身（目标是否是已知恶意基础设施、通信节奏是否符合已知 C2 协议特征），这对未知恶意软件家族也能生效，只要它的网络行为模式匹配已知的 C2 通信特征。
L5 会话层
该层为空，没有产品或服务。这个域没有 VPN、SD-WAN 等会话建立与维护类产品——它的角色始终是检测经过的流量，不参与会话本身的建立、维护或选路。
L6 表示层
该层为空，没有产品或服务。这个域的检测引擎分析的是流量的明文内容，但加解密本身通常不是它自己的产品能力——面对加密流量，需要依赖外部专用设备完成解密（比如本站 Gigamon 域讨论的内联解密模块，或负载均衡设备），把明文副本交给检测设备分析。这不是这个域独有的空白，几乎所有专注在内容检测的旁路设备都有同样的前提依赖。
L7 应用层
这是这个域历史上最重的一层，也是它最初的核心创新：MVX（Multi-Vector Virtual Execution）虚拟执行检测引擎——把可疑文件、URL 或邮件附件放进隔离的虚拟环境里真实执行，观察实际行为（是否释放恶意载荷、是否尝试回连、是否有横向移动动作），而不是单纯匹配已知特征库。这种方法对当时的零日漏洞与定制化恶意软件（尤其是国家级攻击者使用的工具）有效，因为这类攻击往往不会命中任何已知签名。这一层还包括 iSIGHT 威胁情报（2016 年收购）与 Mandiant Consulting 的事件响应/红队服务。
