终端安全的讨论容易被带偏到"要不要装某个新工具"。其实在工具之前，先把基线定下来——该装的装上、该关的关掉、该开的打开，就已经解决大部分问题。
一、基线是"一套标准"，不是"一堆工具"
基线的意义是让所有终端处于同一个可预期的状态。有了基线，才能做批量核查；没有基线，安全就变成"凭印象判断"。
二、必须装的四类软件
- 防病毒 / EDR：开启实时防护，病毒库自动更新
- 补丁管理：操作系统与常用软件的更新通道统一
- 终端管控：用于资产登记、外设管控、软件清单采集
- 统一认证客户端：配合单点登录与账号管控
三、必须关的高风险项
| 项目 | 风险 | 处理 |
|---|---|---|
| 远程桌面对外暴露 | 暴力破解入口 | 关闭或仅限内网 + 白名单 |
| 共享目录匿名访问 | 数据泄露 | 关闭匿名，按权限共享 |
| 未授权远程工具 | 绕过管控 | 统一使用批准的远程工具 |
| USB 存储任意使用 | 数据外带与病毒引入 | 按岗位管控或加密 |
| 管理员权限随意授予 | 提权风险 | 默认普通账户，按需申请 |
四、验证比制定更重要
- 抽样检查：随机抽 10% 终端核对基线项
- 自动采集：通过终端管控工具定期出报告
- 问题闭环：不达标的终端限期整改，例外项要登记
例外要有台账
业务需要而无法达标的终端，要写清楚原因、风险与责任人。没有例外台账，基线会在半年内被"特殊情况"磨穿。
五、把基线写成一页纸
一页纸足够：装什么、关什么、谁负责、怎么核查。下发到每个部门，并在新员工入职时作为标准配置的一部分执行。能被执行的基线，一定是短的。
#终端安全#安全基线#端口管理#运维事业部
