广东
为什么终端成了勒索的落脚点
传统内网的默认逻辑是「接进来就互相信任」，员工把电脑、手机、个人热点接上网线或 WiFi，就能顺顺当当访问内部资源。问题在于，攻击者拿到一台失陷终端后，可以顺着共享文件夹和弱口令横向扫描，短时间内加密整公司数据；而摄像头、门禁这类弱口令 IoT 设备，更是常被当成打进内网的跳板。
零信任的思路反过来：默认不信任任何内外部用户和设备，每次访问业务系统都要验证身份、校验终端状态、按最小权限放行。终端合规校验正是这套思路的第一道闸——设备入网前先「体检」，合格才允许接入。
终端合规校验在校什么
终端合规校验不是简单地让设备「连上来」，而是在入网前检查几项硬指标：
·身份认证：通过 802.1X 或 Portal 确认是谁在接入，访客和员工区分开。
·系统状态：补丁是否更新、病毒库是否为最新、是否开启了基本防护。
·异常检查：有没有残留的异常账号、可疑计划任务、未经授权的外接设备。
不达标的终端不直接接入业务网，而是被引导到隔离修复区，修复完成后再放行。这样即使某台设备带毒，也无法直接触达核心服务器。
零信任怎么持续校验
入网通过只是开始。零信任要求对内部系统的每次访问持续验证，而不是一次登录后长期信任。智慧光迅在零信任准入项目中，通常按最小权限放行：员工只能访问岗位所需的系统，办公、生产、安防网络之间用 VLAN 逻辑隔离。
远程接入走加密隧道并叠加双因素认证，除密码外还要动态验证码或设备证书；关键系统的远程维护改用零信任远程接入，把端口藏在认证之后，缩小爆破面。通信加密与访问控制在同一套网关上一体完成，这正是通密一体化架构的落脚点。
IoT 设备为什么要单独关起来
摄像头、门禁、打印机这类 IoT 设备普遍用默认口令、固件更新慢，是横向移动的重灾区。做法是用 VLAN 把它们单独划进安防区，不再对办公网随意开放；修改默认口令、关闭不必要端口，限制它们与办公网互访。一台办公电脑中招，也很难顺着网络摸到监控录像和 NVR。
恢复阶段为什么还要做终端体检
很多企业恢复完数据就以为事件结束，结果不久再次中招，原因是带毒终端没有清理干净就放了回来。恢复阶段对所有重新入网的设备再做一次合规校验：补丁、病毒库、异常账号都正常后，才允许接入业务网络。
常见问题
Q：中小企业没有安全团队，零信任能落地吗？
A：可以从网关自带的准入与基础访问控制做起，按部门先划清网络区域，再逐步收紧权限，不必一开始就追求完整体系。
Q：终端合规校验会不会影响员工办公？
A：校验在入网时自动完成，合规设备正常接入、无感知；不合规设备先去修复区，不会拖慢日常办公。
Q：访客来访怎么入网？
A：单独划访客网络，扫码或 Portal 认证后接入，与员工办公网逻辑隔离，不暴露内部资源。
Q：摄像头门禁这类设备怎么防？
A：统一划进独立 VLAN，修改默认口令、关闭不必要端口，限制与办公网互访，弱口令设备就难以成为跳板。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
