终端防护与安全

终端，包括笔记本电脑、台式机、服务器以及越来越多的手机，是大多数入侵真正开始的地方。有人点击了网络钓鱼链接，打开了被感染的附件，或把不受管理的个人设备连接到公司资源，攻击者就此获得立足点。过去，终端防护意味着杀毒软件加补丁计划。如今它必须远不止于此：能捕捉杀毒软件漏掉的行为的检测能力，以及能在被入侵的设备酿成更大事件之前将其隔离的响应能力。

我最常看到的缺口并非完全没有终端工具，而是不一致。公司笔记本电脑有不错的防护，但远程承包商的个人电脑或访问邮件的不受管理的移动设备却毫无防护。攻击者不在乎哪台设备在您的安全政策中正式“在范围之内”，他们会攻击最薄弱的那一台。

我如何着手

我从盘点实际连接到您系统的设备开始，这份清单往往比预期的更长、更杂乱。随后我会查看覆盖缺口，并转向 EDR（终端检测与响应），而不是只依赖基于特征码的杀毒软件，因为行为检测能发现特征码永远发现不了的东西。我会收紧补丁管理，避免已知漏洞数月敞开，并将设备加密作为默认强制执行，而不是可选项。

响应环节与检测同样重要。如果某个终端被标记为已遭入侵，就需要一套快速、清晰的流程，将其从网络中隔离、调查并修复，而不是让一张工单在队列里等着，任由感染有时间扩散。我会在部署工具的同时建立这套流程，因为光靠工具本身阻止不了任何事。

哪些组织需要

如果您的终端防护水平因笔记本电脑属于谁而差异悬殊，如果您从未运行过 EDR、只依赖杀毒软件，或者访问公司资源的远程设备和个人设备没有被任何一致的政策覆盖，那就值得着手解决。