一、企业概况

电子制造企业，厂区包含研发设计终端、办公 PC、车间工控机、质检终端、财务电脑合计 410 台终端。 核心资产：整车配套 3D 图纸、加工工艺参数、客户报价单、生产排程数据。 原有现状：无统一终端安全平台，仅单机免费杀毒；工控网与办公网未严格隔离；员工 U 盘随意混用，补丁长期不更新，无外设、文件外传管控，未落实等保 2.0 终端安全要求。

二、安全事件爆发过程

1. 病毒入侵源头车间操作工将存有短视频、外挂软件的私人 U 盘插入数控工控终端，U 盘携带勒索病毒。

2. 内网横向扩散终端存在大量未修复高危漏洞，病毒迅速穿透办公区、研发部、财务室，加密 UG、SolidWorks 设计图纸、生产台账、财务报表。

3. 多重泄密隐患多名研发员工通过私人微信、网盘将未加密零部件图纸外发至外协厂商；无操作日志，无法确认外泄文件范围。

4. 业务重大损失生产线工控设备被加密锁死，全厂停工 2 天；核心工艺图纸外泄丢失 2 个百万级订单；勒索病毒索要赎金数十万元，企业声誉、经济双重受损。

三、事件暴露出终端管理核心短板

1. 无终端统一纳管，工控、研发、办公终端无分级防护策略；

2. USB 外设无管控，私人 U 盘、移动硬盘自由接入内网；

3. 缺失自动化补丁与漏洞管理，终端基线长期不达标；

4. 文件外发无拦截，微信、网盘、邮箱可随意传输涉密图纸；

5. 无全链路操作审计，文件拷贝、外设插拔、软件安装无日志留存，出事无法溯源；

6. 工控终端与办公网络逻辑互通，缺乏访问隔离机制；

7. 员工终端安全意识薄弱，缺少常态化安全管控与培训。

四、终端安全整改落地方案（制造业专用）

1. 全终端 EDR 统一纳管，分级防护

所有办公、研发、质检、工控终端部署终端安全管理平台，按安全等级划分三类策略：

• 一级（高风险）：研发设计、财务终端，严控拷贝、截屏、外发；

• 二级（普通）：行政办公终端，基础外设管控；

• 三级（工控专用）：数控、PLC 配套终端，禁止访问互联网、限制 USB 读写。

2. 外设全生命周期管控

• 全盘禁用私人 U 盘、手机 USB 存储；

• 仅发放企业加密专用 U 盘，拷贝图纸、工艺文件自动留痕、限制单次拷贝大小；

• 屏蔽蓝牙、红外、无线直连，杜绝手机偷拍、无线传输泄密。

3. 漏洞与补丁自动化运维

平台统一扫描终端高危漏洞，自动推送系统、软件补丁； 终端基线强制核查：弱口令、防火墙、自动播放、共享目录，基线不达标终端限制访问业务服务器。

4. 制造业数据防泄漏策略

• 识别图纸（UG/STP/SLDPRT/PDF 工艺文件），拦截微信、QQ、网盘、私人邮箱外发；

• 终端强制添加屏幕水印，水印含工号、终端编号、时间，防范手机拍照泄密；

• 打印审计，涉密图纸打印需审批，自动记录打印人、份数。

5. 网络准入与工控隔离

部署终端准入控制系统，未安装 EDR、风险不达标的设备禁止接入内网； 工控区单独划分 VLAN，仅允许指定运维终端访问，阻断办公终端直接访问数控设备。

6. 全行为审计与事件溯源

留存日志不少于 180 天，覆盖登录、U 盘插拔、文件复制、软件安装、外联、打印、截屏行为；发生异常自动告警、一键隔离风险终端。

7. 配套管理制度落地

制定《工控终端使用规范》《图纸外发审批制度》，每月终端安全培训，违规操作纳入绩效考核。

五、整改实施成效

1. 杜绝勒索病毒、木马在内网横向传播，连续 14 个月无终端感染安全事件；

2. 图纸、工艺数据私自外发行为清零，满足客户保密协议及等保三级合规；

3. 高危漏洞修复覆盖率 100%，终端基线合规率稳定 99% 以上；

4. 工控网络与办公网络风险隔离，不会再出现终端病毒瘫痪生产线；

5. 安全事件可快速溯源定位责任人，运维工作量降低 60%；

6. 顺利通过客户二方保密审核、公安等保测评。

六、案例总结

该制造企业因终端无统一管控引发勒索病毒停工、核心图纸泄露重大事故。通过部署一体化终端安全管理平台，针对研发图纸、工控设备两大制造业核心资产，实施分级防护、外设管控、数据防泄漏、补丁自动化、网络准入、全行为审计等措施，补齐终端安全短板，既保障生产线稳定运行，又实现工艺、图纸敏感数据防泄密，满足生产经营与合规双重需求。