本页内容
要点速览
- 保持防火墙和网络设备固件为最新版本；厂商停止发布安全更新后，就应更换硬件。
- 对网络进行分段，让访客、物联网设备、电话和员工电脑之间不能随意互访。
- 把访客Wi-Fi与业务系统完全隔离，员工Wi-Fi则使用强度高的现代无线安全协议。
- 远程访问要启用多因素身份验证，及时为VPN设备打补丁，并考虑用零信任网络访问实现应用级访问。
- 切勿把远程桌面或设备管理界面直接暴露在互联网上。
- 清点每一台联网设备，因为您无法保护自己不知道存在的东西。
防火墙：依然必不可少，却常被忽视
在许多小型办公室里，防火墙要么是互联网服务商安装的那台设备，要么是一台配置过一次就再没人管的商用防火墙。防火墙和其他边界设备本身就面向互联网，一个漏洞就可能让攻击者直接进入内部网络，因此它们经常成为攻击目标。
把边界设备的固件更新当作紧急事项处理，尤其是当厂商标明某个漏洞正被积极利用时。订阅厂商的安全公告。确认设备仍在厂商支持范围内；型号一旦停止支持就不会再收到修复，应当更换。确保管理界面无法从互联网访问，管理员账户一人一号并在支持时启用多因素身份验证，每次变更后都备份配置。
至少每年审查一次规则集。删除没人说得清用途的端口转发和规则，在可行时限制出站流量，并在测试其影响后，启用您已经购买了许可证的功能，例如入侵防御、网页过滤和威胁情报订阅。
对网络进行分段
在扁平网络中，每台设备都能和其他所有设备通信，一台被入侵的打印机或笔记本电脑就能访问文件服务器。VLAN以及VLAN之间的防火墙规则可以限制这种扩散。
员工设备
受管理的公司笔记本电脑和台式机，可以访问其所需的业务应用和服务器。
服务器与基础设施
文件服务器、备份设备和网络管理系统，只允许确有需要的系统和管理员访问。备份系统尤其要严格限制访问。
语音与打印机
VoIP电话和打印机各自位于独立网段，只能访问其所需的服务，例如电话系统服务商或打印服务器。
物联网与楼宇系统
摄像头、门禁、智能电视、温控器以及其他很少更新的设备，要加以隔离，使其无法接触业务数据。
访客
只能访问互联网，没有通往任何内部网段的路由。
员工和访客的Wi-Fi
无线网络的覆盖范围会超出您的墙壁。配置时要假设停车场里有人正试图连接，因为有时确实如此。
- 在所有设备都支持时使用WPA3，否则使用WPA2/WPA3过渡模式；彻底淘汰WEP和WPA-TKIP。
- 规模较大的办公室可以考虑采用基于802.1X的WPA2或WPA3企业版，让每个用户或设备单独进行身份验证，通常与Microsoft Entra ID或通过Intune签发的证书相结合。
- 如果员工Wi-Fi使用预共享密钥，请设置得足够长且随机；知道密钥的员工离职后要更换，也不要把它告诉访客。
- 在独立的VLAN上运行单独的访客网络，启用客户端隔离和带宽限制，禁止访问内部资源，并定期更换密码或使用认证门户页面。
- 停用WPS，更改无线接入点的默认管理员凭据，并保持其固件为最新版本。
- 合理布置无线接入点，覆盖您的办公空间，但不要不必要地把信号发射到相邻单位或街道上。
远程访问：VPN与零信任网络访问
远程办公意味着网络边界如今延伸到了家里的餐桌和咖啡店。传统VPN建立一条通往办公室网络的加密隧道，只要配置得当，仍是合理的选择：每次连接都要求多因素身份验证，只让远程用户访问其所需的网段，及时为VPN软件和设备打补丁，并记录连接日志。VPN设备一直是攻击者反复瞄准的目标，因此放任其不打补丁是一项严重风险。
零信任网络访问（ZTNA）采用不同的思路。它不是把远程设备接入网络，而是在核验身份和设备健康状况后，为特定应用代理访问，通常通过云服务实现。用户永远看不到整个网络，从而限制了攻击者凭被盗凭据所能触及的范围。对于应用大多在Microsoft 365和其他SaaS平台上的机构来说，对VPN的需求可能很小；剩下的少数内部系统可以用ZTNA或应用发布来替代VPN。
无论选择哪种方式，切勿把远程桌面协议（RDP）、SMB文件共享或设备管理页面直接暴露在互联网上。暴露在外的RDP是勒索软件最常利用的入口之一。
物联网，以及没人当作电脑看待的设备
监控摄像头、录像机、会议室显示屏、智能电视、打印机、门禁读卡器和暖通空调控制器，其实都是联网的计算机。许多设备出厂时使用默认密码，很少收到更新，而且是由承包商而非IT人员安装的。有些设备还会主动连接到并非您所选择的云服务。
把它们登记在册，更改默认凭据，在有固件更新时及时更新，停用UPnP和远程云访问等不使用的功能，并把它们放在一个只拥有必要访问权限的隔离网段中。购买新设备时，请询问厂商会提供多长时间的安全更新。
可见性与日常维护
网络安全不是一次性的项目。一套轻量、定期的例行工作可以防止安全水平逐渐退化。
维护设备清单
记录每台网络设备的型号、固件版本、支持状态、位置和负责人。网络服务商的设备以及承包商安装的任何设备也要纳入。
使用DNS过滤
过滤DNS请求可以为网络上的每台设备拦截已知的恶意和钓鱼域名，还可以通过代理程序延伸到外出使用的笔记本电脑。
日志与监控
把防火墙和Wi-Fi日志发送到能够保留并审查日志的位置，并对配置变更和多次登录失败发出警报。
定期审查
每月检查固件和支持状态，每季度审查防火墙规则和VPN账户；变更后测试网络分段，确认访客设备确实无法访问内部系统。
保护物理层
给网络机柜上锁，停用闲置的墙面网口或将其划入受限VLAN，并清楚哪些人可以接触网络设备。
先做三项检查
确认您的防火墙仍在支持期内并运行最新固件；确认没有RDP之类的服务暴露在互联网上；确认访客Wi-Fi无法访问任何内部设备。这三项检查可以堵住小型办公室网络中最常见的几个漏洞。
常见问题
互联网服务商提供的路由器够用吗？
对于很小的办公室，它也许能提供基本保护，但网络服务商的路由器往往缺乏网络分段、日志记录和及时的固件更新。大多数企业更适合使用专门的商用防火墙，并把服务商的设备设为桥接或透传模式。
如果所有东西都在Microsoft 365里，还需要VPN吗？
可能不需要。如果所有业务应用都在云端并受条件访问保护，VPN可能只用于少数几个内部系统，甚至完全不需要。ZTNA可以为这些系统提供访问，而无需开放整个网络。
什么是网络分段？为什么它很重要？
网络分段是把网络划分为多个区域，并在区域之间设置规则。这样，一个区域中被入侵的设备（例如摄像头或访客笔记本电脑）就无法随意访问另一个区域中的服务器和员工电脑。
防火墙固件应该多久更新一次？
安全更新一经发布就应及时安装；对于厂商报告已被利用的漏洞，要紧急更新。至少每月检查一次更新，并在设备停止支持之前做好安排。