端點不安全，全網不安全。中小企業端點涵蓋PC、筆記本、移動設備、IoT，本文構建「策略→防病毒→移動設備管控→主機IPS/行為防護→應用控制→網絡准入(NAC)」六層纵深防御體系。

基礎：AD組織架構映射安全策略

• OU劃分：Workstations / Laptops / Servers / Mobile Devices
• 安全組：IT_Admins / Standard_Users / Temp_Users / Contractors
• 按OU/組下發差異化GPO/端點策略，實現精細管控

第一層：防病毒基線（傳統AV仍是底座）

1. 全盤掃描：每週一次（建議午休時段），筆記本接入企業網即觸發全掃
2. 可移動設備插入即掃（USB/手機/外置硬盤）
3. 病毒庫更新：每3小時增量更新
4. 離線回源：內部更新服務器故障時，自動切廠商公共源

第二層：BYOD管控——允許攜帶，嚴禁失控

1. 全環境禁用Wi-Fi/藍牙/紅外/Modem（含筆記本/服務器）
2. 禁用USB U3功能（虛擬光驅自動運行風險）
3. 可移動設備寫入審計：記錄設備序列號/文件哈希/操作用戶/時間
4. 阻止可移動介質/光盤直接執行可執行文件/腳本
5. 大容量存儲設備寫入強制加密（BitLocker To Go / 端點DLP加密）

第三層：主機IPS/行為防護（HIPS/EDR核心）

強制要求： 新策略/新軟件部署前，必須經過「學習模式/測試模式」驗證，杜絕誤攔業務。

第四層：應用控制與數據防洩漏(DLP)

• 保護註冊表啟動項/服務/驅動/計劃任務，防惡意自啟
• 禁止應用將可執行文件/腳本寫入網絡共享（阻斷蠕蟲橫向傳播）
• 敏感應用(財務/ERP/CRM)禁用 PrintScreen/複製粘貼/拖拽
• 遠程存儲白名單：僅允許授權應用寫入OneDrive/SharePoint/NAS

第五層：情境感知動態策略

策略 = f(用戶身份, 設備角色, 網絡位置, 連接方式)
筆記本三態策略：
• 企業內網(有線/受管Wi-Fi) → 完全策略
• 企業外網(家庭/咖啡廳Wi-Fi) → 嚴格策略(禁USB/全流量VPN/強制EDR)
• VPN接入 → 中等策略(開放業務端口/審計加強)
定位引擎： 多源融合(網卡IP/DNS/AD站點/網關MAC/地理位置API)，單點故障不可用。

第六層：網絡准入控制(NAC)閉環

1. 802.1X 有線/無線認證（AD/RADIUS/NPS）
2. NPS/NAP 健康檢查：防病毒運行/補丁級別/防火牆開啟/磁盘加密 → 動態分配VLAN(隔離區/修復區/生產區)
3. 端點代理深度健康態上報（進程/補丁/配置/漏洞掃描結果）豐富NAP決策

落地建議

中小企業可選「一體化端點安全套件」(如Symantec/CrowdStrike/SentinelOne/國產奇安信/深信服/360)，單Agent覆蓋AV/EDR/DLP/NAC代理，單控制台統一策略，降低運維複雜度。

防護模塊	阻斷行為	典型案例
鍵盤記錄器防護	攔截鍵盤Hook/內核回調	竊取密碼/信用卡/聊天記錄
網絡連接監控	未授權進程發起出站連接	C2心跳/數據外發/橫向掃描
Rootkit防護	驅動簽名白名單+內核回調監控	竊取簽名證書簽署惡意驅動
DLL注入防護	監控CreateRemoteThread/SetWindowsHookEx/AppInit_DLLs	注入explorer.exe/winlogon.exe躲避查殺
緩沖區溢出防護	DEP/ASLR/CFG/ACG強制啟用+堆/棧保護	Office/Adobe/瀏覽器0day利用