安全加固 · 安全配置
服务类别: 网络安全堵住设备、服务器和云租户中那些轻易就能被利用的漏洞
默认设置往往偏重方便。我们为您的电脑、服务器、Microsoft 365 租户和网络设备应用有文档记录的安全配置基线，结合员工的实际工作方式进行测试，并防止配置随时间偏离。
概览
- 服务内容
- 为设备、服务器、云服务和网络设备设计、分阶段推行并维护安全配置基线
- 适合对象
- 员工约5至200人、设备设置不统一或云服务仍沿用默认配置的机构
- 核心内容
- 参照CIS基准和微软安全基线设计配置基线、试点测试、分阶段部署、例外记录以及配置偏离检查
- 默认不含
- 修改应用程序代码、为不受支持的系统更换硬件、渗透测试以及正式的合规认证
- 计价方式
- 安全加固项目按固定费用收取，可选的持续配置偏离管理按每设备每月计费，均以书面报价确认
- 服务地区
- 远程服务覆盖加拿大各地；大温哥华地区、菲沙河谷和卡尔加里的上门服务需按具体地址确认
- 如何开始
- 先做一次安全评估或终端安全评估，再确定加固项目的范围
什么是安全加固
安全加固是指通过修改系统配置来缩小攻击面：关闭不用的功能和协议、强制加密、限制谁可以安装软件或运行脚本、收紧管理权限，并启用出厂时默认关闭的安全功能。加固适用于笔记本电脑和台式机、服务器、Microsoft 365 租户、防火墙以及Wi-Fi。
我们参照成熟的标准制定基线，包括CIS基准、微软安全基线以及加拿大网络安全中心的指南，然后根据您的应用程序和工作流程进行调整。如果某个基线导致会计软件无法运行，或拦截了必需的宏，心存不满的员工就会想办法绕过它，所以测试和例外处理也是工作的一部分。
安全加固通常先做一个项目，之后再持续维护。随着设备更换、软件安装和故障排查时的临时修改，配置会逐渐偏离。持续的偏离检查能让基线保持到位。
常见的配置薄弱环节
人人都是本地管理员
员工可以随意安装任何软件，以用户身份运行的恶意软件也会继承对设备的完全控制权。
旧协议仍在启用
SMBv1、NTLMv1、旧版TLS以及不再使用的远程服务仍然开着，只因为从来没有人去关。
设备未加密
没有启用 BitLocker 或 FileVault 的笔记本电脑一旦丢失或被盗，客户数据就会暴露。
云服务沿用默认设置
由于默认设置或过去的决定，Microsoft 365 允许匿名共享链接、允许用户自行授权应用，并允许自动转发邮件到外部。
我们加固哪些方面
Windows 和 macOS 设备
通过 Intune 下发磁盘加密、移除本地管理员权限、Windows LAPS、攻击面减少规则、宏限制、屏幕锁定和防火墙设置。
Windows 服务器
移除不用的角色和服务、关闭旧协议、限制远程访问、启用审计日志，并实行管理权限分层。
Microsoft 365 租户
共享默认设置、外部转发、用户授权、审计日志、邮箱审计以及管理门户访问限制。
防火墙和Wi-Fi
删除不用的规则、关闭对外开放的管理接口、更新固件、在支持时启用WPA3或WPA2企业版，并隔离访客网络。
例外管理
每一项偏离基线的设置都会记录原因、负责人和复核日期。
配置偏离检测
通过 Intune 合规报告和定期配置检查，标记出不再符合基线的设备。
服务范围
包含的系统和基线会在方案中列明。
通常包含
- 为服务范围内的设备、服务器、租户和网络类别设计基线
- 先向测试组试点部署，并跟踪发现的问题
- 分阶段推行，并做好员工沟通
- 记录例外情况及其原因和复核日期
- 提供配置文档供您存档
- 如选择持续管理，则包含配置偏离检查
需另行确定范围或单独报价
- 修改应用程序源代码或供应商软件
- 更换无法满足基线要求的硬件或操作系统
- 通过渗透测试验证加固效果
- 针对任何标准的合规证明或认证
- 加固无法通过我们可访问的工具进行管理的系统
使用的工具和参考标准
- Microsoft Intune 配置文件、安全基线和合规策略
- 适用于本地 Active Directory 环境的组策略
- Windows LAPS、BitLocker 和 FileVault
- CIS基准和微软安全基线
- 用于评估租户配置的 Microsoft 安全分数（Secure Score）
- 防火墙和Wi-Fi厂商的管理控制台
适合哪些机构
缺乏规划、自然成长起来的机构
多年来设备一台一台地单独配置，从来没有统一标准的企业。
正在迁移到 Intune 的团队
采用云端设备管理、希望从一开始就内置安全基线的机构。
刚完成评估的公司
手上有一份评估发现的配置问题清单，需要系统化地逐一修复的企业。
带来的好处
- 恶意软件和攻击者获取控制权的途径更少
- 所有设备和服务器的设置保持一致
- 丢失或被盗的笔记本电脑有加密保护
- 例外情况有据可查，而不是莫名其妙的差异
- 可向客户和保险公司出示配置证明
加固项目如何进行
了解现状
我们收集设备、服务器、租户和网络设备的配置数据。
提出基线方案
我们按类别提出配置建议，并标出可能影响用户或应用程序的设置。
试点
先在测试组应用基线，通常先以审计模式运行，并解决出现的问题。
分阶段推行
分批推行设置，同时做好沟通和支持。
记录与维护
将基线和例外情况记录成文档；如已选择，则开始配置偏离检查。
购买方式
所列价格为拟定价格，以书面报价确认。
安全加固项目
针对您所选的设备、服务器、租户和网络类别，按固定费用开展的项目。
持续配置偏离管理
按每设备每月计费，定期检查并纠正偏离，让基线保持到位。
先做评估
通过安全评估或终端安全评估，确定哪些类别最需要优先处理。
常见问题
安全加固会导致我们的应用程序无法使用吗？
如果做得草率，确实有可能。我们会先在测试组试点新设置，在可行时使用审计模式，并为确实需要的应用程序记录例外。
我们必须取消所有人的管理员权限吗？
对于日常使用的账户，我们强烈建议这样做。需要安装软件的员工可以提交申请，或通过受控的临时提权流程完成。
安全加固后我们就符合CIS要求了吗？
我们以CIS基准作为参考，并根据您的环境进行调整。这与正式的合规评估不同，正式评估需要由独立评估机构另行开展。
一个安全加固项目需要多长时间？
这取决于系统数量、涉及的类别，以及试点反馈的速度。具体时间安排会在报价中确认。