端点安全策略包括哪些
在日常办公或家庭网络使用中，我们常会用到笔记本、手机、平板这些设备接入公司系统或远程访问内部资源。一旦这些“端点”设备被攻击，整个内网都可能暴露。所以，一套完整的端点安全策略必不可少。
设备身份认证与准入控制
就像小区门禁只认业主卡一样，企业网络也会设置准入机制。新设备接入前必须通过身份验证，比如使用数字证书、802.1X认证或绑定MAC地址。没通过的设备连Wi-Fi都连不上，更别说访问内部系统了。
终端防病毒与恶意软件防护
这是最基础的一环。很多员工习惯从不明网站下载软件，容易中招木马。部署统一的杀毒软件能实时扫描文件、拦截可疑行为。有些高级防护还能识别勒索软件的加密动作，及时冻结进程并报警。
操作系统与补丁管理
Windows、macOS系统时不时爆出高危漏洞，黑客就靠这些空子入侵。端点安全策略要求所有设备定期更新系统和常用软件。管理员可以通过后台强制推送补丁，避免有人图省事一直点“稍后重启”。
数据加密与外设管控
员工把公司资料拷进U盘带回家？风险太大。策略中通常会限制USB存储设备的使用，或者要求必须是加密U盘才能读写。同时，硬盘启用BitLocker或FileVault全盘加密，就算电脑丢了，数据也不容易泄露。
应用白名单与运行控制
不是所有程序都能随便跑。比如禁止运行远程控制类工具（如向日葵、TeamViewer），防止被外部操控。只允许企业批准的软件启动，其他一律拦截。这在财务、研发这类敏感岗位特别常见。
网络行为监控与日志记录
设备连上网络后的操作要留痕。比如谁在什么时间访问了哪个服务器、传输了多少数据，这些都会记入日志。一旦发现异常流量，比如某台电脑半夜往外传大量文件，系统会自动告警。
与端口映射的关联防护
有些人为了远程访问家里NAS或监控摄像头，会在路由器上做端口映射，把内网服务暴露到公网。但若前端设备没做好安全策略，比如没关远程调试端口或用了弱密码，很容易被扫描利用。端点安全策略会要求这类设备单独隔离，或强制启用双因素认证，降低暴露风险。
例如，某人把家里的Windows电脑3389端口映射出来用于远程桌面，但没改默认账户密码，几天就被暴力破解了。如果端点装有行为监测软件，检测到异常登录尝试，就能及时阻断连接并通知用户。
<rule name="Block_RDP_Brute_Force" enabled="true">
<match protocol="TCP" dst-port="3389" />
<action type="alert" threshold="5" window="60" />
<action type="block" duration="3600" />
</rule>这样的规则可以集成在终端防火墙中，短时间内多次尝试连接远程桌面就自动封禁源IP一小时。