内容摘要：```html 去年秋天，我帮一家做外贸的朋友收拾了个烂摊子。他们公司二十来台电脑，财务那台中了勒索病毒，整个季度的客户对账单全被加密。事后一查，病毒是从一台前台电脑进来的——那台机器还在跑 Wind

```html

去年秋天，终端我帮一家做外贸的安全朋友收拾了个烂摊子。他们公司二十来台电脑，加固财务那台中了勒索病毒，终端整个季度的安全客户对账单全被加密。事后一查，加固病毒是终端从一台前台电脑进来的——那台机器还在跑 Windows 7，补丁停在两年前，安全U 盘随便插，加固杀毒软件三个月没更新过。终端这事让我重新想了一个问题：终端安全到底靠什么？安全不是买最贵的 EDR 就完事，也不是加固装个免费杀软图个心安。真正的终端加固，是安全从承认“每台终端都是潜在缺口”开始的。

先说个反直觉的加固观察。很多人以为终端安全就是防病毒，其实现在攻击面早就变了。浏览器插件、远程桌面端口、打印机驱动、甚至你用的那个 PDF 阅读器，都可能成为入口。我见过最离谱的案例是一台设计用的 Mac，因为装了个破解版字体管理工具，被植入了挖矿脚本，风扇整天狂转，设计师还以为是渲染太吃性能。所以加固的第一步不是加东西，是减东西——把不必要的软件卸掉，把没用的服务关掉，把默认共享关掉。Windows 的 SMBv1 协议，2024 年了还有人在用，就为了连一台老式扫描仪，这就是在自家墙上凿洞。

补丁管理听起来老套，但它是性价比最高的加固手段。我自己的习惯是：操作系统补丁两周内必须打，浏览器和 Office 这类高频应用一周内。别信什么“补丁会搞崩系统”的鬼话，真正搞崩你的是没打的补丁。有个做律所的朋友，他们的文档管理系统跑在 Windows Server 2012 上，因为怕影响业务一直不敢重启打补丁，结果被利用了永恒之蓝漏洞，整个卷宗库被锁。后来花了六万块找数据恢复，比停机两小时贵多了。

权限这块，很多人栽在“图方便”上。公司里总有几个“超级用户”，本地管理员权限随便给，理由是“装软件方便”。我见过一家三十人的公司，二十五个本地管理员。这意味着什么？任何一个人点错一个链接，整个内网就裸奔了。正确的做法是：日常用标准账户，需要提权时走审批或临时授权。Windows 的 LAPS 方案就挺好，本地管理员密码每台机器不一样，定期自动轮换，成本几乎为零，但能挡住一大波横向移动。

再聊聊终端防护软件的选择。别只看病毒库大小，要看它的行为监控能力。我测试过几款主流产品，有的对无文件攻击几乎没反应——攻击者不写硬盘，直接在内存里跑 PowerShell 脚本，传统杀软就是睁眼瞎。所以现在选型至少要看三点：能不能监控脚本行为，能不能拦截可疑的进程注入，能不能做应用白名单。白名单这招特别适合固定业务场景，比如收银机、工控终端，只允许跑指定的几个程序，其他一律拦掉，简单粗暴但有效。

最后说个容易被忽略的点：终端安全不是装完软件就结束了，它是个持续动作。我给自己定的规矩是每月花半天做三件事：翻一遍终端的安全日志，看看有没有异常登录；检查一遍外设使用记录，有没有莫名其妙的 U 盘接入；跑一次漏洞扫描，确认没有新增的高危端口。这半天时间，比事后救火划算太多。终端加固没有一劳永逸，它更像给房子换锁——锁会旧，贼会新，你得时不时拧一拧。

```