企业网络安全防护方案

四层防线怎么搭

边界层：下一代防火墙（NGFW，带 IPS 入侵防御）+上网行为管理（管控+审计）+VPN（远程办公加密通道）；云端补充：WAF（Web 应用防火墙挡 SQL 注入/XSS——有公网网站的基本刚需）、DDoS 防护。终端层：企业杀毒/EDR（终端检测响应， 传统杀软挡不住新型攻击）、补丁管理（打补丁是性价比最高的安全措施）、准入控制（未装杀软的设备不许入内网）。数据层：备份（3-2-1 原则：3 份副本、2 种介质、1 份异地——防勒索病毒的终极保险是离线备份）、加密（数据库敏感字段、办公电脑磁盘加密）、DLP 数据防泄漏（按需）。管理层：域控/统一身份（离职即回收权限）、最小权限原则（财务系统能看不能删）、安全审计日志（留存 ≥6 个月，等保要求）。

中小企业轻量方案

预算有限的务实打法：①云安全托管（网站挂云 WAF+DDoS 基础防护，几百元/月起）；②办公终端统一装 EDR（每终端年费 50~150 元）；③强制密码策略+开启两步验证（邮箱和 VPN 最重要）；④每季度全员防钓鱼演练（发假钓鱼邮件测试点击率——员工是最大的漏洞，也可能是最强的传感器）；⑤备份演练（备份能恢复才叫备份，一年至少真恢复一次）。总投入一年几千到几万，挡住 90% 的常见攻击面。

应急响应预案

出事时的流程比设备重要：①隔离（中毒机器立即断网不断电）；②评估（是勒索/数据泄露/入侵挖矿）；③取证保留日志；④处置（备份恢复或清除后门）；⑤上报（涉及个人信息泄露按《个人信息保护法》要报监管）；⑥复盘（怎么进来的、堵哪里）。预案提前写好联系人清单（安全厂商、法务、监管报送口径），演练过一次的预案才是预案——纸面预案在勒索病毒爆发当晚一文不值。