1. 企业背景

中型装备制造企业，办公电脑、车间工控终端、研发设计约10万台，未部署统一终端安全管理平台，仅靠免费杀毒软件，无终端准入、外设管控、补丁管理策略。研发存有图纸、核心工艺参数，车间工控机直接接入办公内网。

2. 事件过程

1. 车间员工使用私人 U 盘拷贝视频插入工控终端，U 盘携带勒索病毒；

2. 病毒在内网横向扩散，感染研发、财务、生产全部终端，加密图纸、生产台账；

3. 多名员工通过私人微信、网盘外传涉密工艺文件，无操作日志留存，无法溯源；

4. 大量终端长期未打系统高危漏洞补丁，病毒利用漏洞快速穿透，杀毒软件失效；

5. 勒索方索要比特币赎金，企业停工 3 天，核心图纸外流，丢失 2 笔大额订单。

3. 暴露终端安全管理缺失点

• 无终端准入，外来设备、私人 U 盘随意接入内网；

• 无外设管控、文件外传拦截，数据随意拷贝外传；

• 缺乏统一补丁管理、漏洞修复机制；

• 无终端操作审计、屏幕水印、进程管控，行为无追溯；

• 工控终端与办公终端未做安全隔离，终端分级防护空白。

4. 整改落地终端安全方案

1. 部署统一 EDR 终端安全管理平台，全终端统一纳管；

2. 外设管控：禁用私人 U 盘，仅授权加密企业 U 盘，拷贝文件留痕；

3. 终端准入：未安装 EDR、未修复高危漏洞终端禁止接入内网；

4. 自动补丁分发、漏洞扫描，定期终端基线核查；

5. 数据防泄漏：拦截微信、网盘、邮件外发图纸类文件，终端屏幕水印；

6. 终端分级：研发 / 财务 / 工控终端划分不同安全策略，工控终端禁止外网访问；

7. 全量审计：文件操作、U 盘插拔、软件安装、外联行为日志留存 180 天。

5. 整改效果

后续 1 年无病毒内网扩散事件，杜绝私自拷贝泄密，漏洞修复覆盖率 100%，终端安全事件下降 95%。