网络安全
安全不是买齐产品，而是按风险排序、把最容易被攻破的入口先补上。我们从边界、端点、邮箱与身份四个方向评估，再决定要买什么、先做什么。
中小企业最常遇到的不是「被针对的高级攻击」，而是钓鱼邮件、弱密码、未更新的系统、过宽的权限。这四项占了绝大多数事故。所以我们先处理这四项，再谈高端方案。
一、四层防护：由外向内
边界：防火墙与上网管控
控制进出流量、封锁高风险服务、分开访客与内部网络，并保留可查阅的日志。
端点：电脑与服务器
杀毒 / EDR、磁盘加密、补丁管理与外设管控，让单机被入侵不会扩散成全域事故。
邮箱：最主要的攻击入口
过滤、附件沙箱、DMARC 与钓鱼辨识训练，处理「人」这一环。
身份：账号与权限
MFA、最小权限、管理员账号分离、离职即时停用 —— 成本最低、效果最好的一层。
二、边界：下一代防火墙与上网管控
- 分区与政策：内部、服务器、访客、IoT 分开，缺省拒绝，逐条开放。
- 应用识别：按应用而非只按端口控管，处理愈来愈多的加密流量。
- 远程接入：以 VPN 或零信任接入取代直接把管理端口暴露在公网。
- 日志与告警：保留可追溯的日志，对异常外连与登录失败设置告警。
- 高可用：关键环境采双机或双线，避免防火墙本身成为单点故障。
三、端点防护与补丁管理
| 项目 | 做法 | 解决的问题 |
|---|---|---|
| 杀毒 / EDR | 行为侦测 + 集中管理，异常进程与横向移动可被拦截 | 勒索软件、无文件攻击 |
| 补丁管理 | 按风险分级，操作系统与常用软件定期更新 | 已知漏洞被利用 |
| 磁盘加密 | 笔记本与移动硬盘全盘加密 | 设备遗失导致数据外泄 |
| 外设与软件管控 | 限制未授权 USB 与软件安装 | 数据外带、恶意软件带入 |
| 备份与演练 | 3-2-1 原则 + 定期还原测试 | 勒索软件后的复原能力 |
四、邮箱安全：最值得先做的一项
超过九成的入侵从一封邮件开始。邮箱安全要处理三件事：挡住假冒、挡住恶意附件与链接、让员工认得出。
- SPF / DKIM / DMARC：先以 p=none 监控，再收紧至 quarantine 或 reject，阻止他人冒用你的网域寄信。
- 附件与链接沙箱：在隔离环境先运行可疑文件与网址再放行。
- 外部信件标示：对外来邮件加上视觉标记，降低「假装同事」的成功率。
- 钓鱼演练：定期发送仿真邮件并统计点击率，针对高风险部门再训练。
- 快速处理流程：一旦有人点了，能在 30 分钟内改密码、撤 session、检查转寄规则。
五、保安风险评估
评估的目的不是出一份厚厚的报告，而是给出一张按风险排序、带成本估算的改善清单。我们的做法分三个层次，按需要选用。
| 层次 | 内容 | 产出 | 适合 |
|---|---|---|---|
| 配置查看 | 检查防火墙规则、账号权限、备份与更新状态、MFA 覆盖率 | 风险清单 + 快速修正建议 | 大部分中小企业的起点 |
| 漏洞扫描 | 对外服务与内部主机的已知漏洞扫描 | 漏洞清单与修补优先序 | 有对外服务或合规要求 |
| 渗透测试 | 仿真攻击验证实际可利用性（需另行授权与约期） | 测试报告与修补验证 | 有客户或监管要求时 |
任何测试必须取得书面授权并约定范围与时间窗口。我们不会对未授权的系统进行测试。
六、托管与持续监控
安全设备买了没人看，等于没有。托管服务解决的是告警没有人处理这个最常见的漏洞。
- 纳管范围：防火墙、端点、备份与关键服务器的状态集中监控。
- 告警处理：分级后通知，并提供初步处置建议；重大事件启动应变流程。
- 定期报告：每月或每季提供事件摘要、修补进度与风险趋势。
- 与 IT 外判集成：若同时使用我们的 IT 管理服务，告警可直接转为工单处理，不需另建流程。
七、支持时间与范围
保安服务最容易被误解的是范围：买了「托管监控」，是否等于半夜有人帮你挡？答案取决于合约怎么写。以下是我们的标准范围，实际按方案调整。
| 项目 | 我们的做法 | 你需要知道 |
|---|---|---|
| 支持时段 | 星期一至五 09:00–18:00 处理变更、查找与告警跟进；托管方案可加 7×24 告警 | 纯办公时间方案不包含深夜即时介入 |
| 回应时间 | 保安事件 2 小时内回应，并给出初步判断与建议动作 | 回应不等于已阻挡；遏制措施需你授权运行 |
| 处理范围 | 防火墙规则、端点告警、DMARC 报告解读、账号被盗处置 | 取证与法律鉴识不在标准范围，需另行安排 |
| 升级路径 | 涉及数据外泄或勒索软件，启动事件处理流程并每日同步进度 | 请勿自行格式化或重装后再求助，会破坏证据 |
八、常见问题
我们公司很小，也会被攻击吗？
会，而且更常。多数攻击是自动化扫描，不挑公司大小。中小企业往往没有专职 IT，被入侵后发现得更晚。先把 MFA、备份与补丁做好，成本很低但效果最大。
一定要换防火墙吗？
不一定。若现有设备仍在保养期、支持所需功能，我们会先调整规则与设置。只有在设备已停产、无法更新或性能不足时才建议更换。
渗透测试多久做一次？
视行业与要求。有客户或监管要求的通常每年一次；一般企业可先做配置查看与漏洞扫描，发现重大变更（新系统上线、搬迁）时再安排测试。
被勒索软件加密了怎么办？
第一步是隔离受感染设备与网络区段，不要急着重装；第二步确认备份是否完好且未被加密；第三步才谈复原。我们可以协助应变，但请注意：付赎款不保证能解密，也可能引来下一次攻击。
托管服务会不会看到我们的数据？
监控以设备状态、日志与告警为主，不需要读取业务数据。若涉及端点调查，会在你的授权下进行并保留操作纪录。
有项目在手？先讲清楚需求，再谈方案。
告诉我们线路用途、地点与时间要求，我们会回复可行的交付方式、所需条件与报价范围。