小企业网络安全服务：切实可行的基线

当小企业主搜索附近的网络安全服务时，通常是因为发生了什么事：一封差点得逞的网络钓鱼邮件，一名员工的账户发出了垃圾邮件，或者有客户询问数据保护。市场上充斥着复杂的产品和吓人的推销话术。然而，大多数小型办公室最好的保护方式是一套清晰、维护良好的基线。本指南说明这套基线涵盖什么，以及靠谱的服务商首先会检查什么。

基线是什么，不是什么

安全基线是您企业中每台设备、每个账户和每个网络都应具备的最低控制措施集合。它不是合规计划，也不是保险单，而是一份切实可行的清单，用来堵住攻击者最常用来攻击小企业的漏洞：被盗的密码、未打补丁的软件、开放的网络和缺失的备份。把这些做好，对小企业网络安全的作用超过任何单一的昂贵工具。

1. 账户与多重身份验证

电子邮件和云账户是现代办公室的大门。多重身份验证能阻止大多数依赖被盗或重复使用密码的攻击。

• 为电子邮件、云存储、银行、会计、域名注册商和主机账户开启多重身份验证。
• 尽可能优先使用验证器应用或安全密钥，而不是短信。
• 在前员工的最后一天删除其账户，并检查共享账户。
• 只把管理员权限授予需要的人，并为日常工作使用单独的管理员账户。
• 使用企业密码管理器，让员工不再重复使用个人密码。

2. 补丁管理

未打补丁的软件是攻击者进入的最常见途径之一。良好的补丁管理意味着操作系统、浏览器、办公应用，以及路由器、防火墙、打印机和摄像头上的固件，都按可预期的计划更新。服务商还应识别不再接收更新的设备，例如停留在不受支持的 Windows 版本上的电脑，并规划更换。

3. 终端防护

每台笔记本电脑和台式机都需要最新的终端防护，并且能被集中查看，这样当它被禁用或报告威胁时有人会注意到。笔记本电脑上还应加上全盘加密、自动锁屏，以及定位或擦除丢失设备的方法。对于访问公司邮件的手机，基本的移动设备管理能让业务数据保持独立并可远程移除。

4. 防火墙与 Wi-Fi 分段

许多小型办公室仍在使用网络运营商安装的路由器，员工、访客、摄像头和智能电视共用同一个 Wi-Fi 网络。起点是一台固件为最新版本的正规企业防火墙。然后把流量分开：

• 供公司电脑使用的员工网络。
• 能上网但无法访问办公室内部任何资源的访客网络。
• 供摄像头、打印机和其他很少获得安全更新的设备使用的独立网段。

Wi-Fi 分段可以在某台设备被攻破时限制损害。远程员工应通过 VPN 连接，而不是让办公室服务直接暴露在互联网上。

5. 经过测试的备份

备份决定了勒索软件事件是令人不便，还是毁掉整个企业。关键词是经过测试的备份：从未被还原过的备份只是一种希望。

• 至少保留一份异地或云端副本，以及一份无法从办公网络修改或删除的副本。
• 包含电子邮件和共享文件等云数据，而不只是本地服务器。
• 定期还原一部分文件，并偶尔还原整个系统，以确认流程有效，并了解需要多长时间。

6. 网络钓鱼意识

技术无法拦截每一封以假乱真的邮件。简短而定期的网络钓鱼意识培训，教员工识别虚假发票、紧急付款请求，以及模仿熟悉服务的登录页面。同样重要的是一条简单的规则：任何更改银行信息或汇款的请求，都要用已知号码打电话确认，绝不通过回复邮件确认。

本地服务商应当首先评估什么

一次好的首次上门应当是评估，而不是销售演示。对于长滩（Long Beach）、洛杉矶（Los Angeles）和南湾的办公室，我们通常从以下几项开始：

• 哪些账户没有启用多重身份验证，以及谁拥有管理员权限。
• 缺少更新或使用不受支持操作系统的设备。
• 防火墙、路由器和 Wi-Fi 配置，包括默认密码和远程访问设置。
• 是否存在备份、存放在哪里，以及上次测试还原是什么时候。
• 任何不必要地暴露在互联网上的服务。

结果应是一份按优先级排序的清单：可以立即完成的快速修复，以及像更换硬件这样可以规划和预算的较大事项。我们的网络设置、VPN 和安全服务涵盖长滩和洛杉矶县小型办公室的防火墙、Wi-Fi 分段和安全远程访问。

让基线持续有效

基线不加关注就会逐渐失效。新员工加入，设备增加，设置在更新后发生变化。请每季度检查一次清单，并在办公室搬迁或新增云服务等重大变化之后再检查一次。写下谁负责什么的书面记录，会让检查快得多。

安全基线常见问题

小型办公室只用杀毒软件够吗？

不够。终端防护只是其中一层。没有多重身份验证、更新、网络分段和经过测试的备份，一个被盗的密码或一台未打补丁的设备仍可能造成严重损害。

我们应该多久测试一次备份？

至少每月还原几个文件，并定期（例如每年一到两次）做一次更完整的还原测试，这样您既知道数据在，也知道恢复需要多长时间。

小企业真的会成为攻击目标吗？

大多数攻击是自动化、见机行事的。它们不论公司大小，只寻找弱密码和未打补丁的系统，这正是基础基线如此重要的原因。